ZeroNights 2014: как прошла культовая хакерская конференция

Есть не так уж и много способов попасть на обложку «Хакера». Первый — провести крутой и оригинальный ресерч по теме ИБ. Второй — написать исчерпывающий гайд на важную и интересую тему с теорией и практикой. Ну а третий — организовать культовую хакерскую конференцию, которую включат в десятку лучших хак-ивентов мира по версии авторитетнейшего Security Vacation Club. Ребята из DSec, безусловно, пошли по третьему пути.

Не так давно в Москве уже в четвертый раз отгремела ZeroNights, международная конференция о практической стороне ИБ. Здесь каждый год собираются множество хакеров, безопасников, ресерчеров, аналитиков, да и просто неравнодушных к проблемам ИБ людей со всего света. Digital Security, организатор ZN, продвигают ее как некоммерческий проект для обмена опытом и знаниями.

ZN — это о хардкоре. Здесь тебе и всевозможные уязвимости, реверс, mobile и web securiry, отдельный defensive-трек и даже площадка для взлома хардварного стафа (между прочим, с явного одобрения вендоров, которые также присутствуют на ZN). Здесь нет места скучному маркетинговому буллшиту. ZN-доклады — это всегда зажигательные интересные представления, где люди общаются друг с другом, со спикером, а при одном упоминании afterparties побывавшие на них лишь многозначительно переглядываются между собой :).

Чуть ниже мы собрали для тебя список ключевых докладов с ZN2014 с кратким пояснением, а также попросили наших друзей поделиться своими впечатлениями. Думаю, если и ты был участником ZN в том году, то многое вспомнишь, а если нет — что ж, надеюсь, мы убедим тебя провести пару дней в ноябре этого года более правильным способом. Go on!

Что было на ZN

Криптография

Антон Жуков, редактор рубрики «Взлом»

Что я могу сказать про этот ивент? На мой взгляд, что бы я ни сказал — все это будут просто пустые слова. Чтобы понять, что такое конференция ZeroNights на самом деле, надо хотя бы однажды ее посетить. Это своя непередаваемая атмосфера: сотни горящих глаз, уникальные доклады, острые вопросы, крутые воркшопы и захватывающие задания. Попадая туда, ты ощущаешь себя частью единого большого механизма. Механизма, для которого нет слова «невозможно». Ты заряжаешься энергией докладчиков, увлеченно рассказывающих всем желающим о своих исследованиях, вдохновляешься окружающим, и руки сами так и тянутся чего-нибудь поковырять. Благо различные конкурсы от организаторов и спонсоров позволяют не только сделать это легально, но и получить достойный приз.

Ну а теперь личное впечатление. К сожалению, у меня получилось поприсутствовать только на первом дне, и, хотя программа второго дня обещала очень много крутых докладов, его пришлось пропустить. Не удалось и встретиться со всеми, с кем хотелось, но, несмотря на это, я остался очень доволен. Того заряда положительных эмоций, энергии, что я получил за этот день, хватит как минимум до следующей конференции. А в том, что я туда обязательно пойду, не возникает даже тени сомнений. Отдельную благодарность хочется выразить организаторам за те огромные усилия, что они приложили, чтобы этот праздник состоялся. Ну и конечно же, всем спикерам, которые подготовили отличные доклады и охотно отвечали на любые вопросы.

Так получилось, что сразу после прохождения регистрации, еще до самого открытия я оказался в зоне Hardware Village, где рулили Олег Купреев и Глеб Чербов, рассказывая всем желающим о многочисленных девайсах, разложенных на столе, и о своих исследованиях. На мой взгляд, ребята просто герои. В то время, как в конференц-залах докладчики сменяли один другого, воркшопы начинались и заканчивались, они все продолжали рассказывать и отвечать на вопросы обширной аудитории Hardware Village в течение всего дня. Непринужденная обстановка, возможность повертеть девайсы в руках и расспросить об их предназначении и функционале привлекли и меня, и в Hardware Village я провел больше всего времени, получив тонны интересной инфы. В общем, отличный получился ивент! Так держать, парни!

Web-security

Ира Чернова, выпускающий редактор ][

На конференции очень радостная и теплая атмосфера. В воздухе витает ощущение праздника. И немудрено: ведь для большинства пришедших на нее ZeroNights — одно из самых ожидаемых событий в году. Тысячи людей забивают на работу и учебу, приезжают из самых далеких уголков нашей и не только нашей страны, чтобы поучаствовать в священном действе. Жизнь кипит на каждом сантиметре: одновременно читаются несколько докладов, проходят квесты и конкурсы. В коридорах непрерывное движение — люди перемещаются между аудиториями, воркшопами и вендорскими стендами.

Обстановка на fasttrack’s (сериях из десяти 15-минутных докладов на самые разные темы) как в троллейбусе в час пик — залы переполнены, даже встать негде, тишина, лица у слушателей предельно серьезные, в конце каждого доклада часть народа выходит, и их место тут же занимают новые люди.

На ZN можно встретить всех самых интересных личностей российского мира ИБ. Если в перерыве сесть в людном месте коридора, закрыть глаза, произнести волшебное заклинание, а потом открыть и оглянуться по сторонам, то непременно увидишь хотя бы одного бывшего или нынешнего автора ][. А если не сходить с места хотя бы десять минут, то в течение их мимо тебя обязательно пройдет человек, от одного вида которого у тебя замрет сердце, и ты еще потом внукам будешь рассказывать о том, как в далеком 2014-м он прошел мимо тебя :).

Впрочем, на ИБ-звезд здесь можно не только смотреть. Одна из основных фишек ZN — возможность неформально поговорить с любым участником конференции. Здесь действует негласный закон: отказываться от общения с кем бы то ни было недопустимо.

Mobile security

Дмитрий Евдокимов, DSec, редактор рубрики X-Tools

В очередной раз убеждаюсь в том, что конференция — это люди. ZeroNights который год уже удается вокруг себя собрать большое количество очень интересных, умных и увлеченных людей. Каждый из них так или иначе является частью ZeroNights, привносит что-то свое — мы неосознанно делаем ее все вместе. Все это сложно передать словами, увидеть в видеозаписи доклада или при просмотре слайдов, так как вы увидите лишь только одну из сторон сложного механизма под названием ZeroNights. Так что я хотел бы сказать большое спасибо нашим докладчикам, спонсорам, посетителям и просто нашим друзьям за вашу помощь, советы и новые оригинальные идеи. Я думаю, что секрет нашего успеха в том, что это конференция от хакеров для хакеров. И мы будем дальше гнуть нашу линию несмотря ни на что.

Понятно, что невозможно все знать, все уметь, но стремиться к этому нужно и можно, и проще всего это делать вместе с такими же, как и ты сам, — как раз над такой атмосферой, синергией мы и стараемся работать на ZeroNights. Всегда открыты для общения, для идей и кутежа :). А, ну и, конечно, на протяжении всего года нам позволяют оставаться на волне наши встречи на DEFCON Russia и наша любимая работа.

P. S. Часто спрашивают: как попасть на ZeroNights? Ответ очень прост: начни свое исследование прямо сейчас!

Уязвимости // эксплойты

Александр Ващило, специалист по ИБ, автор ][

На конференцию ZeroNights я специально приехал из Минска. Наконец-то удалось вживую пообщаться со многими ребятами из русскоязычной ИБ-тусовки, до этого мы знали друг друга только по никам. Таким образом, я получил кучу удовольствия от общения с главным редактором «Хакера» и где-то десятком других ребят, к которым я подходил, называл их ник, а они в ответ мой :).

В целом, как и положено на мероприятиях подобного плана, там царила своя атмосфера: доклады, воркшопы, CTF, стенды с гаджетами и куча людей, приятно больных своим увлечением или работой. Однако после мероприятия часто слышал мнение от других участников, что-то вроде «нет интересных докладов» и «организация мероприятия ужасна». Лично я с этим не согласен. Докладчиков было много и всех мастей, и просто физически невозможно было прослушать все представленные доклады, так как выступления шли в несколько потоков. Конечно, никто не палил какие-то свежие 0day-уязвимости по типу Heartbleed или же готовые эксплойты, позволяющие сразу положить чью-то инфраструктуру или украсть деньги. Многие доклады были больше теоретические или, скорее, из разряда proof of concept, однако в них звучали правильные мысли.

Организация мероприятия мне также понравилась, и я не могу указать явно на какие-то косяки: регистрация прошла быстро, очередей или нехватки места тоже не было. Скорее всего, те, кто жаловался на организацию, были больше расстроены, что не было халявных фирменных маек ZN.

Понравились ребята из QIWI, которые любезно предложили взломать их тематически разукрашенные терминалы. По итогу второго дня, наверно, каждый хоть раз попытался хакнуть QIWI-терминал или хотя бы пощупать на прочность, но в итоге только терминал оказался в плюсе :). Кроме терминала, были также миловидные девчонки, которых можно было приобнять, сфотографироваться и за это получить фирменную платежную карту VISA в стиле ZN.

Подводя черту, могу смело сказать, что на меня ZeroNights произвела приятное впечатление. Это была большая неформальная тусовка совершено разных людей, увлеченных одним делом. И стоя в фае главного входа недалеко от стенда Digital Security, можно было услышать, как на виниле играла легендарная тема The Prodigy — One Love из фильма Hackers (1995). Эта музыка и весь дух проходящего разбудила ностальгические чувства, и в этот миг я осознал простую мысль — я там, где я должен быть.

Борис Рютин, ZORSecurity, редактор рубрики «Обзор эксплойтов»

В прошлом году, когда я описывал свои впечатления о ZeroNights 2013, то упомянул несколько минусов и сказал, что с каждым годом они будут устраняться. Организаторы в этом году не подвели и многое (если не всё), на что жаловались в прошлом году в социальных сетях, было устранено. Так как в этом я выполнил намеченную ранее цель и смог стать докладчиком, то попробую расписать свои впечатления с разных сторон.

Как посетитель отмечу:

• Размер помещения. Без проблем можно было найти место передохнуть и пообщаться или порешать задания из различных конкурсов.
• Конкурсы. Помимо того, что проходило небольшое CTF-соревнование, организаторы решили поощрить open source разработчиков и предлагали призы за полезные новые ИБ-программы или модули под уже известные.
• Терминал от QIWI, который не пытались сломать, наверно, только кувалдой. Некоторых от исследования платежных терминалов останавливает то, что большинство стоит в людных местах и надо придумывать «легенду» или использовать методы из СИ. Вариант закинуть к себе в машину мы не рассматриваем :).
• Вечеринку от Яндекса. За особенную атмосферу, подарки от @toxo4ka всем участникам bug bounty и то, что могли прийти не только докладчики.

Как докладчик (а у меня было несколько выступлений) особенно хочу поблагодарить за длительный обед, так как весь первый день мы с @akochkov проводили мастер-класс по radare2 (о котором ранее писали в Хакере), и благодаря этим двум часам мы смогли пообщаться со многими друзьями и передохнуть. Ну и конечно же, за private speaker party, в ходе которой, как всегда, можно было узнать много интересного, о чем не было упомянуто на докладе или что только планируется.

Единственное жаль, что @090h не смог отыграть свой DJ-сет, так как Hardware Village, как и всегда, было очень популярным. Я вообще считаю, что им надо выделять отдельное большое помещение :).

Ну и самое главное для многих — в этом году велась видеозапись большей части докладов, обработка которых, думаю, закончится как раз к выходу номера, и все, кто не смог попасть на конференцию или отдельный доклад, смогут их посмотреть.

Fast track

Юрий Гольцев, Positive Technologies, редактор рубрики «Взлом»

Четвертая по счету ZN очень порадовала и вдохновила. Атмосфера, антураж и площадка конференции навеяла много приятных воспоминаний о самой первой ZN, ставшей для меня тогда действительно крутой российской конфой, на которой мне довелось побывать в качестве обычного участника.

Ребята подготовили отличную программу. Два параллельных трека докладов не заставляли разрываться на части, желая послушать и то и то. Нет смысла говорить о каких-то конкретных выступлениях — каждое из них заслуживает внимания. Материалы уже доступны на веб-сайте конференции, внимание им можно уделить вот тут. Заметно, что с каждым годом постоянные спикеры становятся все более и более подкованы в плане подачи информации, доклады наполняются театрализованной составляющей. Да, я имею в виду доклады Александра Песляка, киноута конференции, и, конечно же, Романа Бажина с его уличными исследованиями.

Приятно, что программа предполагала отрезки времени для общения со старыми друзьями и знакомыми. Отмечу крутейшую Hardware Village, ребята провели ее великолепно. Не могу припомнить ни одного момента, когда бы там не толпились увлеченные люди.

Не подкачала и конкурсная составляющая, многим было чем заняться даже в условиях полного отсутствия интереса к самой программе конференции. Отдельное спасибо за CTF, в котором мои коллеги заняли первое место, что в итоге так никому и не позволило потратиться по полной на алкоголь. Стоит сказать спасибо Яндексу и персонально Антону Карпову за организацию клевого afterparty и поддержку конференции.

Приятное и действительно вдохновляющее чувство, что все сделано в стиле «от комьюнити — для комьюнити», не покидало ни на минуту. Спасибо.

Степан Ильин, экс-главред Х, директор по продуктам и развитию Wallarm

Как человек, который более десяти лет занимался хардкорным контентом про информационную безопасность, каждый раз восхищаюсь программой ZeroNights и тусовкой, которую конференция вокруг себя собирает. Если ты еще не был на ZN — запланируй на следующий год поездку в Москву, оно того стоит!

В этот раз прямо очень хорошо: площадка, организация, вечеринки от спонсоров (Яндекс, как всегда, молодцы) — как на каком-нибудь Black Hat’е, только наше, родное :). Не знаю почему, но по атмосфере вспомнился тот самый первый ZN, который прошел в Питере и заложил начало крупным конференциям по практической безопасности.

Из докладов, по правде говоря, был полностью только на Keynote. Большой респект неповторимому Саше Песляку, много правильных тем в самой необычной обертке, какую я только видел. Solardiz взял игру, которую десятки лет назад писал еще для DOS’а, поменял тексты и сценарий (не трогая бинарники) и рассказал о проблемах современного мира и информационной безопасности, путешествуя персонажем в прошлое, настоящее и будущее.

Все остальное время — нон-стоп общение, которого, кажется, всем нам очень не хватает. Респект всем организаторам и спонсорам за очередной праздник и докладчикам — некоторые из них приезжают на конференцию каждый год. Кажется, пора давать наградки а-ля Foursquare — «Ветеран ZN», почему нет?

Defensive Track

Юля Кольдичева, PR-директор DSec

Прошедший ZeroNights, если честно, меня удивил. Это особенно странно, если учесть, что нынешний проект полностью прошел через меня, включая мелкие технические детали, каждую букву в расписании.

Казалось бы — все ожидаемо: тысяча с лишним участников, полные залы, хардкорные технические доклады, конкурсы, тусовка. Но участники ZN не просто заполонили собой пространство, они наполнили его новым смыслом, зарядили. Потрясла абсолютная вовлеченность в процесс всех гостей. Кругом все жило, крутилось: непрерывный обмен мнениями, острые реплики в ответ на шутки докладчиков, моментальные находки, попытки взлома банкомата и CTF нон-стоп. Такой настоящий живой организм тусовки энтузиастов, фанатеющих от игр с информационными системами любого уровня сложности.

Удивило и то, что представители бизнеса, заглянувшие на хакерский огонек, не сидели смущенно по углам, а тоже живо участвовали в конференции. Некоторые темы докладов, особенно в секции Defensive Track, показались корпоративным гостям по-настоящему близкими. И представители бизнеса, и технические специалисты дали самые высокие оценки уровню контента. Это неудивительно, ведь доклады отбирал программный комитет из 12 экспертов ИБ, известный своим пристрастием к глубоким исследованиям, ранее нигде не публиковавшимся.

Приятно порадовал тот факт, что в качестве почетных гостей на конференцию были приглашены участники команд — победителей школьного конкурса CTF, организованного факультетом вычислительной математики и кибернетики МГУ. Пообщавшись в кулуарах с парнями из команд Shadow servants, «Пылающие Помидоры» и 1336 h4x0rz, выяснила, что мотивация у юных программистов и хакеров для многочасовых упражнений с компьютерами разная. Одни делают это просто for fun, потому что интересно, увлекательно. А другие стремятся выйти на крутой уровень и «зарабатывать сто баксов в час» (с). Интересно, кстати, будет встретить тех и других лет так через десять. И конечно, хотелось бы, чтобы встреча состоялась на ZeroNights :).

Иван Новиков, Wallarm

Было очень здорово. Напомнило самый первый ZN в гостинице «Карелия» в Петербурге.

Это было хардкорно, крутые доклады. Особенно понравилось про безопасность MQ и отличный кинот от Соляра, сделанный вместо презентации на DOS-игре.

Это почти DEFCON, то есть это уже советский дефкон (такой уж был антураж в зале, простите). Но через пару лет он может стать дефконом 2005–2006, что не может не радовать :).

И это надо делать дальше! Надо больше мастер-классов реалтайм. Надо больше пространства. Каждый уголок должен быть заткнут каким-то гаджетом. И так будет.