ब्लैक हैट यूएसए 2013. क्या था और रिपोर्ट के बारे में थोड़ा

सूचना सुरक्षा पर कई सम्मेलन होते हैं: छोटे और बड़े, तकनीकी और विशेष रूप से विक्रेताओं की मार्केटिंग रिपोर्ट से भरे हुए, या, फ्लाइंग मैकरोनी मॉन्स्टर को बचाने के लिए, "सुरक्षा सूचना की दुनिया में रॉक स्टार कैसे बनें" की शैली में रिपोर्ट या रिपोर्ट। और दो सुरक्षा सम्मेलन हैं जो हमेशा इस पृष्ठभूमि के खिलाफ खड़े हुए हैं: ब्लैक हैट और डेफकॉन। यहां तक ​​कि सूचना सुरक्षा से दूर लोगों ने शायद उनके बारे में सुना।

मैं इस बारे में बात करना चाहूंगा कि ब्लैक हैट यूएसए ने इस साल कैसे आयोजन किया।
ब्लैक हैट या डेफकॉन में प्रदर्शन करना मेरा पुराना सपना था। सपना पिछले साल सच हो गया था, जहां मैंने और अलेक्जेंडर अलेक्जेंडरपॉलिकोव पोलाकोव ने सर्वर साइड रिक्वेस्ट फॉरगिरी के बारे में बात की थी , लेकिन इस साल स्थिति ने खुद को दोहराया, और ओएलएपी सर्वर पर मेरी रिपोर्ट और एमडीएक्स पर हमलों ने चयन समिति को सफलतापूर्वक पारित कर दिया, और हैलो, वेगास!

सम्मेलन 6 दिनों तक चलता है। 4 दिन की ट्रेनिंग और 2 दिन की रिपोर्ट और वर्कशॉप। दरअसल, पिछले 2 दिनों में सभी सबसे दिलचस्प होते हैं।

आपने शायद कुछ रिपोर्टों के बारे में सुना है:
1) रूट सिम कार्ड
2) एंड्रॉइड: उन सभी को प्राप्त करने के लिए एक रूट
3) घर का निमंत्रण V2.0 - ATTACKING NETWORK-CONTROLLED HARDWARE

कई और दिलचस्प प्रस्तुतियां और विषय थे, जो आश्चर्यचकित करने वाली बात नहीं है, सम्मेलन कीनोट्स की सूची को देखते हुए: जनरल अलेक्जेंडर - एनएसए (पीआरआईएसएम और ब्लाब्लाब्ला) के निदेशक और ब्रेन मुइरहेड (नासा, मंगल पर विजय प्राप्त करने वाले गुलाब के बारे में शांत कहानी)। दुर्भाग्य से, हम सबसे अधिक भाग के लिए ERPScan बूथ पर खड़े थे :), इसलिए मैंने उन पर विस्तार से विचार नहीं किया, हर कोई यहां की सामग्री से परिचित हो सकता है ।





इसके बजाय, मैं आपको यह बताने की कोशिश करूंगा कि संपूर्ण रूप से सम्मेलन कैसे हुआ।

यह ध्यान देने योग्य है कि मेरे और अलेक्जेंडर dark_k3y बोल्शेव के अलावा, जिनके साथ मैंने BI सिस्टम पर हमलों की रिपोर्ट पर काम किया, अलेक्जेंडर पोलाकोव भी वेगास चले गए, जिनके काम में बार-बार बीएच आया है। इस बार उन्होंने वीएन में पढ़ाया।

हम सभी को पहले दिन बोलना था, राष्ट्रीय सुरक्षा एजेंसी के निदेशक, सिकंदर के बाद। यह थोड़ा कष्टप्रद है, क्योंकि हम एक-दूसरे की रिपोर्ट नहीं सुन सकते हैं, और फिर खुद को माप सकते हैं ... एमएमएम ... यह पता करें कि किसके पास अधिक श्रोता थे। इस छोटे माइनस के अलावा, टाइमलाइन सही थी। सम्मेलन की शुरुआत में "शूट बैक" से बेहतर कुछ नहीं है, जिसके बाद आप शांति से दूसरे लोगों के भाषणों में जा सकते हैं या उन लोगों के साथ संवाद कर सकते हैं जो आपकी रिपोर्ट पसंद करते हैं। यह हास्यास्पद था: वेगास की सड़कों पर देर शाम, अलग-अलग लोगों ने संपर्क किया, जो ट्राइफल्स या नवीनतम मॉडल फोन की उपस्थिति में रुचि नहीं रखते थे, लेकिन कैसे साशा और मैं इस तरह के शानदार प्रदर्शन करने में कामयाब रहे। बहुत अच्छा लगा।

तो, ब्लैक हैट के माहौल के बारे में थोड़ा। सम्मेलन होटल / कैसीनो "कैसर पैलेस" में होता है (हाँ, "बैचलर पार्टी" से बहुत एक)। सम्मेलन में बहुत सारे आगंतुक हैं:



रिपोर्टों और कार्यशालाओं के अलावा, सम्मेलन में एक खंड भी है जहां रिसीवर विभिन्न सुरक्षा उपकरणों (ब्लैक हैट आर्सेनल) का प्रतिनिधित्व करते हैं, और विभिन्न सुरक्षा कंपनियों के स्टैंड वाला एक खंड, जो संयोगवश, हमारा स्टैंड था। सामान्य तौर पर, लोगों के पास अपना समय लेने के लिए कुछ होता है:





जब रिपोर्ट समाप्त हुई तो हैकर्स ने शाम को वेगास में क्या किया? ज्यादातर पार्टियों में (कैसीनो में अमेरिकी पेंशनरों को खेलते हैं)। सम्मेलनों के बाद, विभिन्न दलों की एक बड़ी संख्या हुई, क्योंकि सम्मेलन का मुख्य लक्ष्य रिपोर्ट नहीं है, लेकिन समुदाय, जो वेगास में होने जा रहा है। तो, पहली पार्टी - परंपरागत रूप से, स्पीकर पार्टी - कैसर के टावरों में से एक में आयोजित की गई थी। इसमें मुख्य रूप से वक्ताओं, अग्रणी कार्यशालाओं और प्रशिक्षणों, प्रायोजकों, सम्मेलन आयोजकों ने भाग लिया और जो किसी तरह प्रतिष्ठित कंगन प्राप्त करने में सफल रहे। स्थिति हल्की और शिथिल थी, लोग परिचित हो गए, वीएन से संबंधित अपने छापों और उम्मीदों को साझा किया। यह वह जगह है जहां आप कई स्मार्ट लोगों से मिल सकते हैं जो सूचना सुरक्षा पर किसी भी विषय पर आपके साथ बात करने के लिए तैयार हैं। पार्टी जल्दी समाप्त होती है, क्योंकि अगले दिन सम्मेलन का मुख्य भाग शुरू होता है - रिपोर्ट, लोग बिस्तर पर जाते हैं।





रिपोर्टों के पहले दिन की शाम मुख्य है। इस दिन सभी गति। IOasis पार्टी - IOActive से एक पार्टी - कैसर के लक्जरी कमरों में से एक में हुई। वहां मौजूद लोगों के निमंत्रण पर ही वहां पहुंचना संभव था। ड्रिंक्स और स्नैक्स का एक गुच्छा - और यहां आप शर्मीलेपन पर काबू पा रहे हैं, अपने छात्रों से घिरे एक दोस्त ग्रुग या ब्राटस के साथ बात करने जा रहे हैं। मुख्य वक्ता और वैश्विक सूचना सुरक्षा उद्योग में गंभीर वजन वाले लोग यहां एकत्र हुए।



उस शाम को व्हाइटहैट पार्टी और मेटस्प्लोइट पार्टी द्वारा सार्वजनिक रूप से उपलब्ध (नियुक्ति के द्वारा) भी होस्ट किया गया था।

पहले होटल के पूल के पास आयोजित किया गया था और हवाई शैली में सजाया गया था। नृत्य, फूलों के हार, पुआल के स्कर्ट और मिनी-गिटार सभी थे। लेकिन मुझे याद है कि पूल के चारों ओर रेडियो-नियंत्रित नावों पर दौड़ होती है (वैसे, उन्हें नियंत्रित किया जा सकता है, उदाहरण के लिए, हैकआरएफ / ब्लेडेडएफ के लिए धन्यवाद, जो हमने अपने जीरोनाइट्स सम्मेलन में दिखाया था)।

Metasploit पार्टी वेगास के क्लबों में से एक में आयोजित की गई थी। विशाल डांस फ्लोर, स्विमिंग पूल और एक मुफ्त बार - विश्राम के लिए आपको और क्या चाहिए? इस समारोह में भारी संख्या में लोग मौजूद थे। इस भीड़ में संचार के लिए दिलचस्प और उपयोगी लोगों को ढूंढना भी कोई समस्या नहीं थी। खैर, अगर यह पूरी तरह से उबाऊ हो गया, तो आप अपने सिर पर Google आवाज के साथ कई आगंतुकों में से एक के पास जा सकते हैं और उसे उसके साथ खेलने के लिए कह सकते हैं।







अंतिम दिन, मुझे तीन ब्लैकहैट पार्टियाँ मिलीं: Microsoft, Isec पार्टनर्स और Zpaty से।
पहले किसी के लिए फिर से सुलभ था और मेटास्प्लोइट पार्टी की रचना की दृढ़ता से याद दिलाता है। लाउड संगीत, एक बार और छत के नीचे कलाबाजी।



Isec Partners पार्टी स्थानीय और कंपनी के दोस्तों के लिए थी। हार्डरॉक-होटल के सुइट में एक विशाल एक्वेरियम, बॉलिंग एली, लाइव म्यूज़िक और फिर, एक मुफ्त बार के साथ सब कुछ हुआ। यहाँ कई रूसी भाषी लोग थे, इस तथ्य के कारण कि कंपनी का एक विभाग बेलारूस में स्थित है (यदि मुझे सही याद है :))।



इस्क पार्टनर्स पार्टी के रास्ते पर, हमने एक सरल खोज का फैसला किया और ज़प्पी को निमंत्रण मिला। इसमें कॉल करने का फैसला किया गया, क्योंकि किसी ने कहा कि मिचनिक वहाँ बाहर घूमेंगे। खैर, हमने मित्निक को नहीं ढूंढा और बार में थोड़ा घूमकर, कुछ स्थानीय सम्मेलन के आयोजक के साथ बातचीत की, हमने आगे की तैयारी की।

चूंकि सम्मेलन अगस्त की शुरुआत में आयोजित किया गया था, PRISM और स्नोडेन की कार्रवाई अभी भी बहुत चर्चा के विषय थे। लोग एडवर्ड की छवि के साथ टी-शर्ट में सम्मेलन में गए, "एडवर्ड से हेलो मे नेम" वगैरह-वगैरह। सम्मेलन में आने वाले अधिकांश लोगों के लिए, स्नोडेन एक नायक थे जिन्होंने एक बहादुर अधिनियम पर फैसला किया।

एक और बिंदु जो हर पार्टी और रिपोर्ट पर ध्यान दिया गया था वह हैकर बरनबी जैक की मौत थी।

उन्होंने इसके बारे में बात की, इस पर चर्चा की, बरनबी के बारे में बहुत अच्छे शब्द कहे गए। यह साझा दुःख कई पूर्व अज्ञात लोगों को एक साथ लाया था जिन्हें जैक ने प्रेरित किया था।



सम्मेलन में पारंपरिक रूप से Pwnie अवार्ड्स प्रतियोगिता भी आयोजित की जाती है, जिसमें सुरक्षा शोधकर्ताओं को सर्वोत्तम सूचना सुरक्षा अनुसंधान और बग के लिए पोनी मूर्तियों से सम्मानित किया जाता है। उल्लेखनीय है, इस वर्ष, पुरस्कार के लिए नामांकित लोगों के बीच, SAProuter में महत्वपूर्ण भेद्यता के साथ रूसी रिसीवर जियोर्जी नोसेंको (डिजिटल सुरक्षा) भी था।
विजेताओं की अंतिम सूची जिन्हें प्रतिष्ठित पोनी प्राप्त हुई थी, उन्हें यहां पाया जा सकता है ।

ब्लैक हैट यूएसए के समग्र इंप्रेशन बेहद सकारात्मक निकले: बहुत सारे दिलचस्प लोग, शांत रिसीवर, जिनके काम को पढ़ना हमेशा दिलचस्प होता है, और एक हंसमुख और शांत वातावरण में संवाद के लिए अनुकूल।

हम विभिन्न विदेशी सम्मेलनों में बहुत कुछ बोलते हैं और उन सभी को अपने स्वयं के ज़ीरोनाइट्स सम्मेलन में लागू करने की कोशिश करते हैं, जो हाल ही में मास्को में आयोजित किया गया था। यह अच्छा था, जल्द ही रिपोर्ट की प्रतीक्षा करें :)