Med hekerji

Pred enaindvajsetimi leti je Jeff Moss alias Dark Tangent v Las Vegasu priredil poslovilno zabavo za kanadskega prijatelja, ki je zaradi odhoda družine v tujino zapiral svoje vozlišče BBS. Prijatelj je žal moral na pot, še preden se je začelo, a zabava za okoli 100 hekerjev je kljub temu stekla. Čeprav je bilo mišljeno kot enkratni dogodek, je eden od udeležencev Mossu po koncu pisal in ga pobaral, kdaj bo naslednji DEF CON. Vse drugo je zgodovina.

Jeff Moss alias Dark Tangent, organizator conference DEF CON.

DEF CON nikakor ni običajna konferenca. Drugačna je že prijava, saj je možna le na kraju samem in ob plačilu dvesto dolarjev v gotovini (letos 180). Nič vnaprej, nič kreditnih kartic ali Paypala. Prijava je anonimna in na značkah ni imen – vsakdo se lahko predstavlja, kot želi, in tako zlahka ohranja svoj omrežni jaz. Od sto hekerjev se je udeležba zvečala na osem do deset tisoč ljudi. Tako se namreč reče navadnim udeležencem (human), za red in gladek potek pa skrbijo goons1, ki to veliko množico ljudi usmerjajo in skrbijo za varnost. To ob številu udeležencev ni lahka naloga.

Za registracijo se je pametno postaviti v vrsto pred pol osmo uro zjutraj prvi dan in tako le kakšno uro in pol čakati na prijavo. Če pa mislite preskočiti uvodna predavanja, je manjša vrsta popoldne. A ne mislite, da se boste brez značke izmuznili goonom in registrirali kasneje! Če imate kaj smisla za uganke in šifriranje, si lahko brezplačno udeležbo priigrate z zmago na izzivu, ki je objavljen kak mesec prej na spletni strani.

Prvi dan je DEF CON 101, namenjen vsem, ki so na konferenci prvič. Razložili vam bodo osnovna pravila, nekaj zgodovine konference in ves spremljevalni program. Sledi nekaj osnovnejših predavanj. Kljub temu je dan zapolnjen, konča se s projekcijo kakšnega relevantnega dokumentarnega filma ali zabavo ob hotelskem bazenu. Sledijo trije polni dnevi s predavanji v kar petih vzporednih stezah in ob bogatem spremljevalnem programu.

Zaključek konference DEF CON.

»Spremljevalni program« za opis različnega dogajanja DEF CON zveni popolnoma suhoparno in neustrezno. Nekateri na konferenco sploh ne pridejo poslušat predavanj, temveč so tam zato, da se s svojo ekipo dokažejo na hekerskem tekmovanju Capture the Flag (zadnja leta se lahko preizkusite tudi v različici za socialno inženirstvo). V Lockpick Village se lahko naučite odklepati klasične ključavnice, na BCCC tekmujete s svojo napravo v hlajenju piva, lahko pa prvi dan preživite na toksičnem žaru (Toxic BBQ), kamor prinesete svojo hrano in recepte. Zvečer lahko na hekerskih karaokah tudi zapojete. Vsega je obilo, organizatorji pa svojo družbeno ozaveščenost nedvomno potrjujejo tudi z dogodki za otroke (prej DEF CON kidz, zdaj r00tz), srečanji istospolno usmerjenih udeležencev queercon in podporo udeležencem z okvarjenim sluhom DEAF CON.

DEF CON pravilo 3-2-1

Vsaj tri ure spanja na dan.
Vsaj dva obroka na dan.
Vsaj eno prhanje na dan.

Sem in tja lahko skočite pogledat, ali se je zaradi trenutne nepazljivosti kakšno vaše geslo ujelo na Zidu za ovce (Wall of Sheep). Tam lovijo udeležence, ki so prišli na hekersko konferenco in so tako neuki, da iz svojih naprav brezskrbno po odprtem brezžičnem omrežju pošiljajo gesla v čisti obliki. Večina ujetih gesel je poštnih, prek protokola IMAP ali POP3. Organizatorji ponujajo tudi varnejše brezžično omrežje s samoregistracijo, zato se velja takoj registrirati vanj in pozabiti na odprto omrežje. Ker pa se »nikoli ne ve,« si pred odhodom uredite še lasten šifrirani dostop VPN, prek katerega boste usmerjali ves svoj promet.

Letošnja predavanja

Predavanj je res veliko. Potekajo na petih, včasih celo šestih vzporednih stezah. Od tega, kaj od predavanj si boste izbrali, bo odvisen tudi občutek o kakovosti predstavljenega. To boste hitro ugotovili v pogovorih med odmori, ko boste primerjali slišano vsebino. Predavanja se navadno končajo petnajst minut pred naslednjim, to daje dovolj časa za množične migracije ljudi po hodnikih od ene predavateljske dvorane do druge.

Tokrat smo lahko poslušali o posebnostih hekanja Ipv6 in uporabi Microsoftove lupine Powershell za »penetracijske teste«. No, ali pa za hekanje v tuje računalnike, ne? Oblaki so bili na tapeti, ko je bil predstavljen način pridobivanja neomejenega prostora na Dropboxu: datoteko razdelite na majhne koščke, te pa shranite kot različne inačice iste datoteke in izkoristite neomejene možnosti sledenja različic. Potem naredite svoj vmesnik, ki upravlja tako shranjene podatke. Seveda boste v težavah takoj, ko bo Dropbox uvedel omejitve in zaščito pri shranjevanju različic. Prepričan sem, da kmalu.

Že prvi dan smo z odra lahko slišali nekoliko zlobno pripombo, da s seboj ne nosite androidnih naprav, ker boste pwnani!2 Tako enostavno verjetno le ni, smo pa lahko kljub temu slišali kar nekaj predavanj o takem ali drugačnem hekanju Androida in pomanjkljivostih Googlove zaščite pri podtikanju zlonamernega programja v njihovo trgovino Play. Prikazan je bil tudi način vdora v storitev Google Apps z ukradenim androidnim telefonom. Googlovi inženirji so zagotovo sedeli med publiko.

Poglejte moj exploit!

Pomanjkljiva zaščita na priljubljenih spletnih mestih za poslušanje glasbe je izpostavila tiste ranljive, kjer lahko datoteke MP3 z manipulacijo spletnih zahtev zastonj shranite v svoj računalnik. Predavanje o izgradnji lastnega javascriptnega botneta, kamor porazdelite svoje šifrirane datoteke, se je končalo z zanimivim pogovorom o zanesljivosti in odpornosti takega botneta na izpade posameznih vozlišč. Letos je kar nekaj predavateljev tudi govorilo o reverznem inženirstvu avtomobilskih sistemov, ki komponente povezujejo z vodilom CAM. Vsak prikaz konkretne izrabe vrzeli v sistemu varnosti je pospremljen z vljudnim aplavzom publike, bolj zanimivi heki pa tudi s kakšnim vzklikom.

Dobro obiskano je bilo predavanje o DoSovskih napadih, ki izkoriščajo slabosti implementacije IPv6 v različnih operacijskih sistemih in strežnike »zamrznejo« tudi brez podatkovnih poplav velikih botnetov. V drugem delu pa smo za kontrast lahko slišali izkušnje ponudnika CloudFlare ob letošnjih napadih na njihovo stranko Spamhaus, ki so dosegli pasovno širino kar 300 Gb/s. Napad je bil izveden prek odprtih rekurzivnih strežnikov DNS in predavatelj je opisal zamisel, da bi lahko za obrambo »rekurzivce« prepričali, da se napadejo med seboj in se zato ne bi imeli več časa ukvarjati z napadom na prvotno tarčo! Njihov pravnik ob tem presenetljivo ni rekel odločnega: »Ne!«, a nadaljnjih podrobnosti v predstavitvi nismo slišali.

Predavanje o »mrcvarjenju podatkov« je pokazalo na nepredvidljive posledice kombiniranja javno dostopnih podatkov in je podalo protiutež »open data« pobudam, ki se verjetno ne zavedajo posledic za posameznikovo zasebnost.

Nekoliko napeto ozračje pa je spremljalo ambasadorja ZDA, nekdanjega člana skupine za pogajanja o nuklearnem programu Severne Koreje. Potegnil je nekakšno vzporednico med atomskim in kibernetnim orožjem, češ zakaj tudi računalniški virusi ne bi bili predmet kakšne omejevalne mednarodne konvencije. Ni bilo sprejeto z navdušenjem, res pa so vprašanja iz publike kmalu začela vleči v smer prisluškovanja NSA.

Na DEF CON lahko obiščete tudi (recimo temu) podporna predavanja. »Kako razkriti ali prodati izrabo ranljivosti (exploit) in pri tem ne zaiti v težave« je opisovalo uzance ameriškega pravnega sistema, predvsem zakona CFAA (Computer Fraud and Abuse Act), drugje ste slišali o etičnih vprašanjih hekanja, lahko pa ste šli na delavnico o preprečevanju samomorilnosti, ki naj bi bila v delu hekerske skupnosti še kar pereča. Med bolj bizarnimi pa bi omenil predavanje o zgodovini ukrepov vlade ZDA ob opažanju NLP (neznanih letečih predmetov) po drugi svetovni vojni. Misli te hitro odnesejo v Area 51 tam v bližini.

Streznitev

Enaindvajset je tista zaresna polnoletnost v ZDA, ko lahko naročiš pivo. DEF CON je lani z dvajseto obletnico obrnil nov list, ko je med glavnimi predavatelji daleč najbolj izstopal direktor NSA, general Keith B. Alexander. Takrat ni skoparil s pohvalami hekerski skupnosti in je v majici EFF (Electronic Frontier Foundation) povabil na oder mlado CyFi, zmagovalko na tekmovanju DEF CON kidz, ter jo predstavil kot svetlo prihodnost ZDA. Čez kak dan je prvi guru informacijske varnosti Bruce Schneier pred publiko dejal: »Pa mu ja niste nasedli?!«

Kljub temu je lani kazalo na začetek sožitja s »feds«, zveznimi agenti, ki že od nekdaj v civilu hodijo na DEF CON. Letos je bilo v zraku jasno čutiti težo streznitve, ki jo je prineslo Snowdnovo razkritje programa PRISM. Pred konferenco je Jeff Moss objavil javni poziv vladnim uslužbencem, naj se vzdržijo obiska. »Nekaj časa moramo prebiti vsaksebi,« je dejal. Tako je umanjkala tudi zabavna aktivnost »Spot the Fed« prepoznavanja agentov v civilu.

Razstavni prostor na konferenci.

DEF CON je en in edini. Kako se bo razvijal v zrela leta, bomo videli, velik del njegove privlačnosti pa je njegov širši kontekst in številni dogodki v njem. Določena predavanja pa so ena boljših in so v celoti posneta, zato jih kar poiščite na Youtubu.

Kako ne biti pwnan

možnost: papirnati blokec in »kuli« ter star »neumen« telefon, ki ga boš zavrgel.
možnost: svež, ponastavljen in zaščiten prenosnik brez dostopa do podatkov doma, ki ga po konferenci zradiraš.
možnost: prenosnik ali tablica, ki lahko prek dostopa VPN pride le do manj občutljivih podatkov doma in določenih poštnih predalov, brez katerih ne moreš teh nekaj dni.
možnost: si l33t hax0r in tebe že ne bodo pwnali, vzameš svoj prenosnik. Srečno.

1: beseda ima več pomenov: pretepač, varnostnik ali klovn
2: pwn je hekerski izraz za own, imeti v lasti ali prisvojiti si. Označuje vdor in prevzem nadzora nad tujo napravo in je lahko tudi vzklik hekerskega zmagoslavja: »You are pwned!«