Есть не так уж и мно­го спо­собов попасть на обложку «Хакера». Пер­вый — про­вес­ти кру­той и ори­гиналь­ный ресерч по теме ИБ. Вто­рой — написать огромный и исчерпы­вающий гайд на важ­ную и инте­ресую тему с теорией и прак­тикой. Ну а тре­тий — орга­низо­вать куль­товую хакер­скую кон­ферен­цию, которую вклю­чат в десят­ку луч­ших хак‑ивен­тов мира по вер­сии авто­ритет­ней­шего Security Vacation Club. Ребята из DSec, безус­ловно, пош­ли по треть­ему пути.

В этом нояб­ре в Мос­кве уже в чет­вертый раз отгре­мела ZeroNights, меж­дународ­ная кон­ферен­ция о прак­тичес­кой сто­роне ИБ. Здесь каж­дый год собира­ются мно­жес­тво хакеров, безопас­ников, ресер­черов, ана­лити­ков, да и прос­то нерав­нодуш­ных к проб­лемам ИБ людей со все­го све­та. Digital Security, орга­низа­тор ZN, прод­вига­ют ее как неком­мерчес­кий про­ект для обме­на опы­том и зна­ниями.

ZN — это о хар­дко­ре. Здесь тебе и все­воз­можные уяз­вимос­ти, реверс, mobile и web securiry, отдель­ный defensive-трек и даже пло­щад­ка для взло­ма хар­двар­ного ста­фа (меж­ду про­чим, с явно­го одоб­рения вен­доров, которые так­же при­сутс­тву­ют на ZN). Здесь нет мес­та скуч­ному мар­кетин­говому бул­лши­ту. ZN-док­лады — это всег­да зажига­тель­ные инте­рес­ные пред­став­ления, где люди обща­ются друг с дру­гом, со спи­кером, а при одном упо­мина­нии afterparties побывав­шие на них лишь мно­гоз­начитель­но перег­лядыва­ются меж­ду собой :).

На бли­жай­ших шес­ти стра­ницах мы соб­рали для тебя спи­сок клю­чевых док­ладов с ZN2014 с крат­ким пояс­нени­ем, а так­же поп­росили наших дру­зей поделить­ся сво­ими впе­чат­лени­ями. Думаю, если и ты был учас­тни­ком ZN в этом году, то мно­гое вспом­нишь, а если нет — что ж, наде­юсь, мы убе­дим тебя про­вес­ти пару дней в нояб­ре сле­дующе­го года более пра­виль­ным спо­собом. Go on!

 

Что было на ZN

 

Криптография

Жан-Филипп Омассон / Jean-Philippe (JP) Aumasson

Чем зна­менит: ведущий спе­циалист по крип­тогра­фии в швей­цар­ской ком­пании Kudelski Security

На ZeroNigthts-2014... рас­ска­зал о Heartbleed, OpenSSL, LibreSSL Truecrypt, а так­же пред­ста­вил прос­тое руководс­тво по сни­жению рис­ков крип­тогра­фичес­ких багов, осно­ван­ное на рекомен­даци­ях Crypto Coding Standard.

Джейк Мак-Джинти / Jake McGinty

Чем зна­менит: учас­тник Open Whisper Systems

На ZeroNigthts-2014... сов­местил пси­холо­гию, крип­тогра­фию и полити­чес­ки‑тех­ничес­кие ули­ки из уте­чек Сно­уде­на, что­бы най­ти эффектив­ные методы защиты от тоталь­ной государс­твен­ной слеж­ки и выяс­нить, с какими тех­ничес­кими труд­ностя­ми мы стол­кнем­ся в борь­бе с этой новой опас­ностью, угро­жающей сво­бод­ному интерне­ту, о котором мы все меч­таем.

Роман Коркикян

Чем зна­менит: спе­циалист Kudelski Security, автор пот­ряса­ющих ста­тей о крип­тогра­фии в недав­них номерах «Хакера»

На ZeroNigthts-2014... пред­ста­вил свой Workshop, вклю­чающий демонс­тра­цию плат­формы по сбо­ру дан­ных, которую может соб­рать иссле­дова­тель; объ­ясне­ние ата­ки на при­мере алго­рит­ма DES; прак­тичес­кие задания по взло­му алго­рит­ма AES.

Антон Жуков, редактор рубрики Взлом

Что я могу ска­зать про этот ивент? На мой взгляд, что бы я ни ска­зал — все это будут прос­то пус­тые сло­ва. Что­бы понять, что такое кон­ферен­ция ZeroNights на самом деле, надо хотя бы однажды ее посетить. Это своя непере­дава­емая атмосфе­ра: сот­ни горящих глаз, уни­каль­ные док­лады, острые воп­росы, кру­тые вор­кшо­пы и зах­ватыва­ющие задания. Попадая туда, ты ощу­щаешь себя частью еди­ного боль­шого механиз­ма. Механиз­ма, для которо­го нет сло­ва «невоз­можно». Ты заряжа­ешь­ся энер­гией док­ладчи­ков, увле­чен­но рас­ска­зыва­ющих всем жела­ющим о сво­их иссле­дова­ниях, вдох­новля­ешь­ся окру­жающим, и руки сами так и тянут­ся чего‑нибудь поковы­рять. Бла­го раз­личные кон­курсы от орга­низа­торов и спон­соров поз­воля­ют не толь­ко сде­лать это легаль­но, но и получить дос­той­ный приз.

Ну а теперь лич­ное впе­чат­ление. К сожале­нию, у меня получи­лось поп­рисутс­тво­вать толь­ко на пер­вом дне, и, хотя прог­рамма вто­рого дня обе­щала очень мно­го кру­тых док­ладов, его приш­лось про­пус­тить. Не уда­лось и встре­тить­ся со все­ми, с кем хотелось, но, нес­мотря на это, я остался очень доволен. Того заряда положи­тель­ных эмо­ций, энер­гии, что я получил за этот день, хва­тит как минимум до сле­дующей кон­ферен­ции. А в том, что я туда обя­затель­но пой­ду, не воз­ника­ет даже тени сом­нений. Отдель­ную бла­годар­ность хочет­ся выразить орга­низа­торам за те огромные уси­лия, что они при­ложи­ли, что­бы этот праз­дник сос­тоял­ся. Ну и конеч­но же, всем спи­керам, которые под­готови­ли отличные док­лады и охот­но отве­чали на любые воп­росы.

Так получи­лось, что сра­зу пос­ле про­хож­дения регис­тра­ции, еще до самого откры­тия я ока­зал­ся в зоне Hardware Village, где рулили Олег Куп­реев и Глеб Чер­бов, рас­ска­зывая всем жела­ющим о мно­гочис­ленных девай­сах, раз­ложен­ных на сто­ле, и о сво­их иссле­дова­ниях. На мой взгляд, ребята прос­то герои. В то вре­мя, как в кон­ференц‑залах док­ладчи­ки сме­няли один дру­гого, вор­кшо­пы начина­лись и закан­чивались, они все про­дол­жали рас­ска­зывать и отве­чать на воп­росы обширной ауди­тории Hardware Village в течение все­го дня. Неп­ринуж­денная обста­нов­ка, воз­можность повер­теть девай­сы в руках и расс­про­сить об их пред­назна­чении и фун­кци­она­ле прив­лекли и меня, и в Hardware Village я про­вел боль­ше все­го вре­мени, получив тон­ны инте­рес­ной инфы. В общем, отличный получил­ся ивент! Так дер­жать, пар­ни!

Ира Чернова, выпускающий редактор ][

На кон­ферен­ции очень радос­тная и теп­лая атмосфе­ра. В воз­духе вита­ет ощу­щение праз­дни­ка. И немуд­рено: ведь для боль­шинс­тва при­шед­ших на нее ZeroNights — одно из самых ожи­даемых событий в году. Тысячи людей забива­ют на работу и уче­бу, при­езжа­ют из самых далеких угол­ков нашей и не толь­ко нашей стра­ны, что­бы поучас­тво­вать в свя­щен­ном дей­стве. Жизнь кипит на каж­дом сан­тимет­ре: одновре­мен­но чита­ются нес­коль­ко док­ладов, про­ходят квес­ты и кон­курсы. В коридо­рах неп­рерыв­ное дви­жение — люди переме­щают­ся меж­ду ауди­тори­ями, вор­кшо­пами и вен­дор­ски­ми стен­дами.

Об­ста­нов­ка на fasttrack’s (сери­ях из десяти 15-минут­ных док­ладов на самые раз­ные темы) как в трол­лей­бусе в час пик — залы перепол­нены, даже встать нег­де, тишина, лица у слу­шате­лей пре­дель­но серь­езные, в кон­це каж­дого док­лада часть народа выходит, и их мес­то тут же занима­ют новые люди.

На ZN мож­но встре­тить всех самых инте­рес­ных лич­ностей рос­сий­ско­го мира ИБ. Если в переры­ве сесть в люд­ном мес­те коридо­ра, зак­рыть гла­за, про­изнести вол­шебное зак­линание, а потом открыть и огля­нуть­ся по сто­ронам, то неп­ремен­но уви­дишь хотя бы одно­го быв­шего или нынеш­него авто­ра ][. А если не схо­дить с мес­та хотя бы десять минут, то в течение их мимо тебя обя­затель­но прой­дет человек, от одно­го вида которо­го у тебя зам­рет сер­дце, и ты еще потом вну­кам будешь рас­ска­зывать о том, как в далеком 2014-м он про­шел мимо тебя :).

Впро­чем, на ИБ‑звезд здесь мож­но не толь­ко смот­реть. Одна из основных фишек ZN — воз­можность нефор­маль­но погово­рить с любым учас­тни­ком кон­ферен­ции. Здесь дей­ству­ет нег­ласный закон: отка­зывать­ся от обще­ния с кем бы то ни было недопус­тимо.

 

Web-security

Николя Грегуар / Nicolas Gregoire

Чем зна­менит: про­фес­сиональ­ный ауди­тор сетей и при­ложе­ний

На ZeroNigthts-2014... поведал о том, как зарабо­тать 25К дол­ларов за нес­коль­ко дней взло­мом боевых сетей.

Иван Новиков

Чем зна­менит: ведущий эксперт по информа­цион­ной безопас­ности ком­пании Wallarm, автор кру­тей­ших стать­ей в ][

На ZeroNigthts-2014... рас­смот­рел в сво­ем док­ладе логичес­кие уяз­вимос­ти и уяз­вимос­ти про­екти­рова­ния веб‑при­ложе­ний, при­чина­ми которых явля­ются некор­рек­тная обра­бот­ка исклю­читель­ных ситу­аций в коде, а так­же неато­мар­ность опе­раций.

Дмитрий Бумов

Чем зна­менит: извес­тный охот­ник за багами в раз­личных #bugbounty-прог­раммах, автор нашумев­шей серии ста­тей в ][ про деано­ними­зацию, а так­же пер­вый человек, кто обра­тил вни­мание на опас­ную уяз­вимость в админке Xakep.RU 🙂

На ZeroNigthts-2014... пред­ста­вил док­лад, пос­вящен­ный деано­ними­зации активных поль­зовате­лей интерне­та. Показал на прак­тике, как раз­личные интернет‑ресур­сы сле­дят за поль­зовате­лями или содер­жат информа­цию о них и как ее мож­но исполь­зовать, что­бы вычис­лить, кто находит­ся по ту сто­рону монито­ра, для собс­твен­ных (как пло­хих, так и хороших) нужд.

Дмитрий Евдокимов, DSec, редактор рубрики X-Tools

В оче­ред­ной раз убеж­даюсь в том, что кон­ферен­ция — это люди. ZeroNights который год уже уда­ется вок­руг себя соб­рать боль­шое количес­тво очень инте­рес­ных, умных и увле­чен­ных людей. Каж­дый из них так или ина­че явля­ется частью ZeroNights, прив­носит что‑то свое — мы неосоз­нанно дела­ем ее все вмес­те. Все это слож­но передать сло­вами, уви­деть в виде­оза­писи док­лада или при прос­мотре слай­дов, так как вы уви­дите лишь толь­ко одну из сто­рон слож­ного механиз­ма под наз­вани­ем ZeroNights. Так что я хотел бы ска­зать боль­шое спа­сибо нашим док­ладчи­кам, спон­сорам, посети­телям и прос­то нашим друзь­ям за вашу помощь, советы и новые ори­гиналь­ные идеи. Я думаю, что сек­рет нашего успе­ха в том, что это кон­ферен­ция от хакеров для хакеров. И мы будем даль­ше гнуть нашу линию нес­мотря ни на что.

По­нят­но, что невоз­можно все знать, все уметь, но стре­мить­ся к это­му нуж­но и мож­но, и про­ще все­го это делать вмес­те с такими же, как и ты сам, — как раз над такой атмосфе­рой, синер­гией мы и ста­раем­ся работать на ZeroNights. Всег­да откры­ты для обще­ния, для идей и кутежа :). А, ну и, конеч­но, на про­тяже­нии все­го года нам поз­воля­ют оста­вать­ся на вол­не наши встре­чи на DEFCON Russia и наша любимая работа.

P. S. Час­то спра­шива­ют: как попасть на ZeroNights? Ответ очень прост: нач­ни свое иссле­дова­ние пря­мо сей­час!

 

Уязвимости // эксплойты

Патроклос Агироудис / Patroklos Argyroudis (argp)

Чем зна­менит: иссле­дова­тель компь­ютер­ной безопас­ности в ком­пании Census S.A.

На ZeroNigthts-2014... рас­ска­зал о сво­ем про­екте Heapbleed, цель которо­го — выявить и при­менить базис­ные эле­мен­ты методик экс­плу­ата­ции кучи (перепол­нение буфера, исполь­зование осво­бож­денной памяти, висячие/мусор­ные ука­зате­ли, двой­ное осво­бож­дение памяти) с тем, что­бы пре­дос­тавить выбор инс­тру­мен­тов для экс­плу­ата­ции кучи, под­ходящий для мно­гок­ратно­го при­мене­ния на прак­тике.

Дмитрий Недоспасов

Чем зна­менит: раз­работ­чик новых методов для ана­лиза и экс­плу­ата­ции физичес­ких уяз­вимос­тей в защищен­ных интеграль­ных схе­мах и сис­темах

На ZeroNigthts-2014... пре­зен­товал док­лад об исто­рии информа­цион­ной безопас­ности в чипах, а так­же о том, как ревер­сить чипы, как находить в них уяз­вимос­ти и как эти уяз­вимос­ти экс­плу­ати­ровать.

Фабьен Дюшен / Fabien Duchene

Чем зна­менит: иссле­дова­тель, спе­циали­зиру­ющий­ся на тех­никах фаз­зинга

На ZeroNigthts-2014... рас­ска­зал нам об инс­тру­мен­тах для эво­люци­онно­го фаз­зинга, ShiftMonkey и KameleonFuzz, а так­же поделил­ся новыми уяз­вимос­тями, вли­яющи­ми на мил­лионы поль­зовате­лей.

Петр Каменский

Чем зна­менит: спе­циалист из Digital Security

На ZeroNigthts-2014... пред­ста­вил свое иссле­дова­ние внут­ренне­го устрой­ства AV, опи­рающе­гося на тех­нологию hardware assisted (VT-x, AMD-V) вир­туали­зации.

Никита Тараканов

Чем зна­менит: незави­симый иссле­дова­тель в области информа­цион­ной безопас­ности, почет­ный автор ][

На ZeroNigthts-2014... рас­ска­зал нам о раз­витии тех­ники экс­плу­ата­ции, а так­же поделил­ся пред­положе­ниями о том, какие нов­шес­тва ждут нас в бли­жай­шем будущем.

Борис Рютин, ESAGE Lab, редактор рубрики «Обзор эксплойтов»

В прош­лом году, ког­да я опи­сывал свои впе­чат­ления о ZeroNights 2013, то упо­мянул нес­коль­ко минусов и ска­зал, что с каж­дым годом они будут устра­нять­ся. Орга­низа­торы в этом году не под­вели и мно­гое (если не всё), на что жалова­лись в прош­лом году в соци­аль­ных сетях, было устра­нено. Так как в этом я выпол­нил намечен­ную ранее цель и смог стать док­ладчи­ком, то поп­робую рас­писать свои впе­чат­ления с раз­ных сто­рон.

Как посети­тель отме­чу:

  • Раз­мер помеще­ния. Без проб­лем мож­но было най­ти мес­то передох­нуть и пооб­щать­ся или порешать задания из раз­личных кон­курсов.
  • Кон­курсы. Помимо того, что про­ходи­ло неболь­шое CTF-сорев­нование, орга­низа­торы решили поощ­рить open source раз­работ­чиков и пред­лагали при­зы за полез­ные новые ИБ‑прог­раммы или модули под уже извес­тные.
  • Тер­минал от QIWI, который не пытались сло­мать, навер­но, толь­ко кувал­дой. Некото­рых от иссле­дова­ния пла­теж­ных тер­миналов оста­нав­лива­ет то, что боль­шинс­тво сто­ит в люд­ных мес­тах и надо при­думы­вать «леген­ду» или исполь­зовать методы из СИ. Вари­ант закинуть к себе в машину мы не рас­смат­рива­ем :).
  • Ве­черин­ку от Яндекса. За осо­бен­ную атмосфе­ру, подар­ки от @toxo4ka всем учас­тни­кам bug bounty и то, что мог­ли прий­ти не толь­ко док­ладчи­ки.

Как док­ладчик (а у меня было нес­коль­ко выс­тупле­ний) осо­бен­но хочу поб­лагода­рить за дли­тель­ный обед, так как весь пер­вый день мы с @akochkov про­води­ли мас­тер‑класс по radare2 (о котором ранее писали в Хакере), и бла­года­ря этим двум часам мы смог­ли пооб­щать­ся со мно­гими друзь­ями и передох­нуть. Ну и конеч­но же, за private speaker party, в ходе которой, как всег­да, мож­но было узнать мно­го инте­рес­ного, о чем не было упо­мяну­то на док­ладе или что толь­ко пла­ниру­ется.

Единс­твен­ное жаль, что @090h не смог отыг­рать свой DJ-сет, так как Hardware Village, как и всег­да, было очень популяр­ным. Я вооб­ще счи­таю, что им надо выделять отдель­ное боль­шое помеще­ние :).

Ну и самое глав­ное для мно­гих — в этом году велась виде­оза­пись боль­шей час­ти док­ладов, обра­бот­ка которых, думаю, закон­чится как раз к выходу номера, и все, кто не смог попасть на кон­ферен­цию или отдель­ный док­лад, смо­гут их пос­мотреть.

 

Defensive Track

Игорь Булатенко

Чем зна­менит: спе­циалист ком­пании QIWI

На ZeroNigthts-2014... рас­ска­зал о слож­ностях управле­ния ролями и груп­пами при раз­делении дос­тупа в сети. Для решения этой задачи ребята исполь­зуют NGFW и DPI и свою магию.

Карим Валиев

Чем зна­менит: руково­дитель груп­пы информа­цион­ной безопас­ности Mail.Ru Group

На ZeroNigthts-2014... открыл некото­рые сек­реты того, как при помощи монито­рин­га ресур­сов сети Интернет, вклю­чая форумы и соци­аль­ные сети, выяв­лять угро­зы безопас­ности.

Алексей Синцов

Чем зна­менит: извес­тный секь­юри­ти‑инже­нер Nokia R&N, отве­чающий за безопас­ность плат­формы Here, зас­лужен­ный автор Х

На ZeroNigthts-2014... рас­ска­зал, как с помощью баналь­ного и прос­того ModSecurity соз­дать авто­мати­зиро­ван­ную сис­тему монито­рин­га атак Web на огромном перимет­ре, как такую сис­тему под­держи­вать и раз­рабаты­вать малыми силами и что это может дать ком­пании в ито­ге.

Алексей Карябкин и Павел Куликов

Чем зна­мени­ты: пред­ста­вите­ли круп­ного рос­сий­ско­го бан­ка

На ZeroNigthts-2014... показа­ли прак­тичес­кий при­мер реали­зации сис­темы монито­рин­га поч­товой кор­респон­денции на осно­ве open source про­дук­тов.

Иван Новиков, Wallarm

Бы­ло очень здо­рово. Напом­нило самый пер­вый ZN в гос­тинице «Карелия» в Петер­бурге.

Это было хар­дкор­но, кру­тые док­лады. Осо­бен­но пон­равилось про безопас­ность MQ и отличный кинот от Соляра, сде­лан­ный вмес­то пре­зен­тации на DOS-игре.

Это поч­ти DEFCON, то есть это уже совет­ский деф­кон (такой уж был анту­раж в зале, прос­тите). Но через пару лет он может стать деф­коном 2005–2006, что не может не радовать :).

И это надо делать даль­ше! Надо боль­ше мас­тер‑клас­сов реал­тайм. Надо боль­ше прос­транс­тва. Каж­дый уго­лок дол­жен быть зат­кнут каким‑то гад­жетом. И так будет.

 

Fast track

Роман Бажин

Чем зна­менит: спе­циалист из Digital Security, автор ][

На ZeroNigthts-2014... про­вел гру­бые опы­ты над Oracle, взгля­нув на Oracle Database Communication Protocol бес­ком­про­мис­сны­ми гла­зами пен­тесте­ра.

Денис Макрушин и Стас Мерзляков

Чем зна­мени­ты: спе­циалис­ты «Лабора­тории Кас­пер­ско­го» и Positive Technologies, почет­ные авто­ры ][

На ZeroNigthts-2014... про­вели сеанс «пар­комагии» и пред­ста­вили новый взгляд на пар­ковоч­ные тер­миналы. Ребята рас­ска­зали, как устрой­ства, которые ник­то даже не замеча­ет на пар­ковках и в дру­гих общес­твен­ных мес­тах, могут быть уяз­вимы и поэто­му опас­ны. Что, кста­ти, пос­лужило иде­ей для нашей темы номера.

Борис Рютин

Чем зна­менит: инже­нер‑ана­литик в ком­пании «Циф­ровое ору­жие и защита» (Esage Lab), зас­лужен­ный автор ][, редак­тор руб­рики «Обзор экс­плой­тов»

На ZeroNigthts-2014... выс­тупил с тре­ком «Go в про­дак­шене вир­мей­кера», где опи­сал плю­сы и минусы соз­дания мал­вари на язы­ке Go (кросс‑плат­формен­ность, быс­тро­та соз­дания и исполне­ния, отно­шение АВ к таким исполня­емым фай­лам и про­чее) и осо­бен­ности их ана­лиза на при­мере нес­коль­ких реаль­ных сем­плов.

Юрий Гольцев, Positive Technologies, редактор рубрики «Взлом»

Чет­вертая по сче­ту ZN очень порадо­вала и вдох­новила. Атмосфе­ра, анту­раж и пло­щад­ка кон­ферен­ции наве­яла мно­го при­ятных вос­помина­ний о самой пер­вой ZN, став­шей для меня тог­да дей­стви­тель­но кру­той рос­сий­ской кон­фой, на которой мне довелось побывать в качес­тве обыч­ного учас­тни­ка.

Ре­бята под­готови­ли отличную прог­рамму. Два парал­лель­ных тре­ка док­ладов не зас­тавля­ли раз­рывать­ся на час­ти, желая пос­лушать и то и то. Нет смыс­ла говорить о каких‑то кон­крет­ных выс­тупле­ниях — каж­дое из них зас­лужива­ет вни­мания. Матери­алы уже дос­тупны на веб‑сай­те кон­ферен­ции, вни­мание им мож­но уде­лить вот тут. Замет­но, что с каж­дым годом пос­тоян­ные спи­керы ста­новят­ся все более и более под­кованы в пла­не подачи информа­ции, док­лады напол­няют­ся теат­рализо­ван­ной сос­тавля­ющей. Да, я имею в виду док­лады Алек­сан­дра Пес­ляка, кино­ута кон­ферен­ции, и, конеч­но же, Романа Бажина с его улич­ными иссле­дова­ниями.

При­ятно, что прог­рамма пред­полага­ла отрезки вре­мени для обще­ния со ста­рыми друзь­ями и зна­комы­ми. Отме­чу кру­тей­шую Hardware Village, ребята про­вели ее велико­леп­но. Не могу при­пом­нить ни одно­го момен­та, ког­да бы там не тол­пились увле­чен­ные люди.

Не под­качала и кон­кур­сная сос­тавля­ющая, мно­гим было чем занять­ся даже в усло­виях пол­ного отсутс­твия инте­реса к самой прог­рамме кон­ферен­ции. Отдель­ное спа­сибо за CTF, в котором мои кол­леги заняли пер­вое мес­то, что в ито­ге так никому и не поз­волило пот­ратить­ся по пол­ной на алко­голь. Сто­ит ска­зать спа­сибо Яндексу и пер­сональ­но Анто­ну Кар­пову за орга­низа­цию кле­вого afterparty и под­дер­жку кон­ферен­ции.

При­ятное и дей­стви­тель­но вдох­новля­ющее чувс­тво, что все сде­лано в сти­ле «от комь­юни­ти — для комь­юни­ти», не покида­ло ни на минуту. Спа­сибо.

Степан Ильин, экс-главред Х, директор по продуктам и развитию Wallarm

Как человек, который более десяти лет занимал­ся хар­дкор­ным кон­тентом про информа­цион­ную безопас­ность, каж­дый раз вос­хища­юсь прог­раммой ZeroNights и тусов­кой, которую кон­ферен­ция вок­руг себя собира­ет. Если ты еще не был на ZN — зап­ланируй на сле­дующий год поез­дку в Мос­кву, оно того сто­ит!

В этот раз пря­мо очень хорошо: пло­щад­ка, орга­низа­ция, вечерин­ки от спон­соров (Яндекс, как всег­да, молод­цы) — как на каком‑нибудь Black Hat’е, толь­ко наше, род­ное :). Не знаю почему, но по атмосфе­ре вспом­нился тот самый пер­вый ZN, который про­шел в Питере и заложил начало круп­ным кон­ферен­циям по прак­тичес­кой безопас­ности.

Из док­ладов, по прав­де говоря, был пол­ностью толь­ко на Keynote. Боль­шой рес­пект непов­торимо­му Саше Пес­ляку, мно­го пра­виль­ных тем в самой необыч­ной обер­тке, какую я толь­ко видел. Solardiz взял игру, которую десят­ки лет назад писал еще для DOS’а, поменял тек­сты и сце­нарий (не тро­гая бинар­ники) и рас­ска­зал о проб­лемах сов­ремен­ного мира и информа­цион­ной безопас­ности, путешес­твуя пер­сонажем в прош­лое, нас­тоящее и будущее.

Все осталь­ное вре­мя — нон‑стоп обще­ние, которо­го, кажет­ся, всем нам очень не хва­тает. Рес­пект всем орга­низа­торам и спон­сорам за оче­ред­ной праз­дник и док­ладчи­кам — некото­рые из них при­езжа­ют на кон­ферен­цию каж­дый год. Кажет­ся, пора давать наг­радки а‑ля Foursquare — «Ветеран ZN», почему нет?

 

Mobile security

Петер Хлаваты / Peter Hlavaty

Чем зна­менит: иссле­дова­тель безопас­ности в KEEN Team, автор ][

На ZeroNigthts-2014... рас­ска­зал о получе­нии root-дос­тупа к Android с помощью двух уяз­вимос­тей сос­тояния гон­ки, показал раз­личия в необ­ходимом уров­не экс­плу­ата­ции и рас­ска­зал о том, как без­дарно некото­рые раз­работ­чики мобиль­ных сис­тем обхо­дят­ся с дос­тупны­ми механиз­мами безопас­ности.

Кирилл Нестеров, Тимур Юнусов и Алексей Осипов

Чем зна­мени­ты: спе­циалис­ты по информа­цион­ной безопас­ности, авто­ры ][

На ZeroNigthts-2014... пред­ста­вили свое иссле­дова­ние о том, нас­коль­ко уро­вень дос­тупа телеком­муника­цион­ных 4G-сетей нап­равлен на защиту або­нен­тов. В ходе тес­тирова­ния были про­вере­ны: SIM-кар­ты, 4G USB-модемы, ради­очасть, IP-сеть дос­тупа.

Марко Грасси / Marco Grassi

Чем зна­менит: спе­циалист R&D viaForensics

На ZeroNigthts-2014... сде­лал нашим навыкам оцен­ки безопас­ности при­ложе­ний нас­тоящий укол сте­роидов. В сво­ем док­ладе он раз­вернул собс­твен­ные инс­тру­мен­ты для модифи­кации прог­рамм под Android и iOS, что­бы обой­ти защиту, про­вес­ти глу­бокий ана­лиз и изме­нить поведе­ние при­ложе­ния под собс­твен­ные цели — все с реаль­ными при­мера­ми из прак­тики.

Андрей Беленко

Чем зна­менит: стар­ший инже­нер по безопас­ности в viaForensics, автор ][

На ZeroNigthts-2014... пред­ста­вил Workshop для тех, кто хочет поз­накомить­ся с сов­ремен­ными тех­нологи­ями forensics в iOS.

Александр Ващило, специалист по ИБ, автор ][

На кон­ферен­цию ZeroNights я спе­циаль­но при­ехал из Мин­ска. Наконец‑то уда­лось вжи­вую пооб­щать­ся со мно­гими ребята­ми из рус­ско­языч­ной ИБ‑тусов­ки, до это­го мы зна­ли друг дру­га толь­ко по никам. Таким обра­зом, я получил кучу удо­воль­ствия от обще­ния с глав­ным редак­тором «Хакера» и где‑то десят­ком дру­гих ребят, к которым я под­ходил, называл их ник, а они в ответ мой :).

В целом, как и положе­но на мероп­риятиях подоб­ного пла­на, там царила своя атмосфе­ра: док­лады, вор­кшо­пы, CTF, стен­ды с гад­жетами и куча людей, при­ятно боль­ных сво­им увле­чени­ем или работой. Одна­ко пос­ле мероп­риятия час­то слы­шал мне­ние от дру­гих учас­тни­ков, что‑то вро­де «нет инте­рес­ных док­ладов» и «орга­низа­ция мероп­риятия ужас­на». Лич­но я с этим не сог­ласен. Док­ладчи­ков было мно­го и всех мас­тей, и прос­то физичес­ки невоз­можно было прос­лушать все пред­став­ленные док­лады, так как выс­тупле­ния шли в нес­коль­ко потоков. Конеч­но, ник­то не палил какие‑то све­жие 0day-уяз­вимос­ти по типу Heartbleed или же готовые экс­плой­ты, поз­воля­ющие сра­зу положить чью‑то инфраструк­туру или украсть день­ги. Мно­гие док­лады были боль­ше теоре­тичес­кие или, ско­рее, из раз­ряда proof of concept, одна­ко в них зву­чали пра­виль­ные мыс­ли.

Ор­ганиза­ция мероп­риятия мне так­же пон­равилась, и я не могу ука­зать явно на какие‑то косяки: регис­тра­ция прош­ла быс­тро, оче­редей или нех­ватки мес­та тоже не было. Ско­рее все­го, те, кто жаловал­ся на орга­низа­цию, были боль­ше расс­тро­ены, что не было халяв­ных фир­менных маек ZN.

Пон­равились ребята из QIWI, которые любез­но пред­ложили взло­мать их темати­чес­ки разук­рашен­ные тер­миналы. По ито­гу вто­рого дня, навер­но, каж­дый хоть раз попытал­ся хак­нуть QIWI-тер­минал или хотя бы пощупать на проч­ность, но в ито­ге толь­ко тер­минал ока­зал­ся в плю­се :). Кро­ме тер­минала, были так­же миловид­ные дев­чонки, которых мож­но было при­обнять, сфо­тог­рафиро­вать­ся и за это получить фир­менную пла­теж­ную кар­ту VISA в сти­ле ZN.

Под­водя чер­ту, могу сме­ло ска­зать, что на меня ZeroNights про­изве­ла при­ятное впе­чат­ление. Это была боль­шая нефор­маль­ная тусов­ка совер­шено раз­ных людей, увле­чен­ных одним делом. И стоя в фае глав­ного вхо­да недале­ко от стен­да Digital Security, мож­но было услы­шать, как на виниле игра­ла леген­дарная тема The Prodigy — One Love из филь­ма Hackers (1995). Эта музыка и весь дух про­ходя­щего раз­будила нос­таль­гичес­кие чувс­тва, и в этот миг я осоз­нал прос­тую мысль — я там, где я дол­жен быть.

Юля Кольдичева, PR-директор DSec

Про­шед­ший ZeroNights, если чес­тно, меня уди­вил. Это осо­бен­но стран­но, если учесть, что нынеш­ний про­ект пол­ностью про­шел через меня, вклю­чая мел­кие тех­ничес­кие детали, каж­дую бук­ву в рас­писании.

Ка­залось бы — все ожи­даемо: тысяча с лиш­ним учас­тни­ков, пол­ные залы, хар­дкор­ные тех­ничес­кие док­лады, кон­курсы, тусов­ка. Но учас­тни­ки ZN не прос­то заполо­нили собой прос­транс­тво, они напол­нили его новым смыс­лом, заряди­ли. Пот­рясла абсо­лют­ная вов­лечен­ность в про­цесс всех гос­тей. Кру­гом все жило, кру­тилось: неп­рерыв­ный обмен мне­ниями, острые реп­лики в ответ на шут­ки док­ладчи­ков, момен­таль­ные наход­ки, попыт­ки взло­ма бан­комата и CTF нон‑стоп. Такой нас­тоящий живой орга­низм тусов­ки энту­зиас­тов, фанате­ющих от игр с информа­цион­ными сис­темами любого уров­ня слож­ности.

Уди­вило и то, что пред­ста­вите­ли биз­неса, заг­лянув­шие на хакер­ский ого­нек, не сидели сму­щен­но по углам, а тоже живо учас­тво­вали в кон­ферен­ции. Некото­рые темы док­ладов, осо­бен­но в сек­ции Defensive Track, показа­лись кор­поратив­ным гос­тям по‑нас­тояще­му близ­кими. И пред­ста­вите­ли биз­неса, и тех­ничес­кие спе­циалис­ты дали самые высокие оцен­ки уров­ню кон­тента. Это неуди­витель­но, ведь док­лады отби­рал прог­рам­мный комитет из 12 экспер­тов ИБ, извес­тный сво­им прис­трас­тием к глу­боким иссле­дова­ниям, ранее ниг­де не пуб­ликовав­шимся.

При­ятно порадо­вал тот факт, что в качес­тве почет­ных гос­тей на кон­ферен­цию были приг­лашены учас­тни­ки команд — победи­телей школь­ного кон­курса CTF, орга­низо­ван­ного факуль­тетом вычис­литель­ной матема­тики и кибер­нетики МГУ. Пооб­щавшись в кулу­арах с пар­нями из команд Shadow servants, «Пыла­ющие Помидо­ры» и 1336 h4x0rz, выяс­нила, что мотива­ция у юных прог­раммис­тов и хакеров для мно­гоча­совых упражне­ний с компь­юте­рами раз­ная. Одни дела­ют это прос­то for fun, потому что инте­рес­но, увле­катель­но. А дру­гие стре­мят­ся вый­ти на кру­той уро­вень и «зараба­тывать сто бак­сов в час» (с). Инте­рес­но, кста­ти, будет встре­тить тех и дру­гих лет так через десять. И конеч­но, хотелось бы, что­бы встре­ча сос­тоялась на ZeroNights :).

Оставить мнение