Mitigación de la coprivación: desobediencia 2020

Si bien el bloqueo causado por el coronavirus ciertamente hace la vida más fácil para los socialmente ansiosos e incómodos entre nosotros, también quita lo único que da un sentido de pertenencia y hogar: las conferencias. Afortunadamente, hay muchos videos de eventos pasados ​​disponibles en línea, lo que ayuda a pasar el tiempo hasta que podamos volver a mezclarnos con personas de ideas afines. Para poner una opción adicional en la lista, un evento del que probablemente nunca hayas oído hablar es Disobedience, la conferencia anual de seguridad de Finlandia, que tuvo lugar por quinta vez en Helsinki a principios de este año, y recientemente lanzaron la lista de reproducción de las conversaciones de este año. en su canal de YouTube.

Con poco menos de 1500 hackers, fabricantes y, en general, gente curiosa que asistió este año, Malobei sigue siendo el lado más pequeño de las conferencias, pero viene con todo lo que esperarías: discursos, talleres, desafíos CTF y una insignia de rompecabezas. Etiquetándose a sí mismo como "El evento de seguridad nórdico", su enfoque principal es en realidad la seguridad de las redes y las computadoras, y la mayoría de los discursos son presentados por investigadores de seguridad profesionales, a menudo Red Teamers, que relatan parte de su trabajo real.

En general, cada chat que enseña algo nuevo, discute temas importantes o simplemente da una forma de pensar, y vale la pena analizar una nueva comprensión, pero tampoco queremos darlo todo aquí. La página del programa de la conferencia ofrece un resumen de todas las charlas si desea consultar más información con anticipación. Pero aún así, no podemos simplemente mencionar una conferencia al azar y no dar al menos algunos ejemplos con pocos detalles sobre qué esperar de ella, así que hagámoslo.

Seguridad y rompiendo cosas

Si no está demasiado familiarizado con el trabajo de los investigadores de seguridad o el campo en sí, pero aún siente curiosidad por él, o simplemente le gusta escuchar historias de las trincheras de seguridad estropeada en la práctica, Expedición de seguridad en b0rkenLand de [Hetti] podría ser un buen punto de partida para ti. Para algo más ávido relacionado con este último, debe verificar [Chris Kubecka]'s Más que turbulencias, donde habla sobre su trabajo en el análisis del estado de la seguridad digital de Boeing, asumiendo que no se sienta incómodo con la idea de volar.

Ahora, tener una licencia para desglosar las cosas, es decir, ser un pentester / consultor de seguridad / cortador de sombrero blanco, seguramente iniciará algunos temas interesantes en una conferencia como esta. [Antti Virtanen] por ejemplo muestra en Estoy en tu oficina una buena docena de formas diferentes en las que podía evitar el control de acceso en los edificios. Algunos de ellos parecen tan estereotipados que solo querrías levantar la vista si los vieras en otra película, pero resulta que podría ser tan fácil como Hollywood quiere que creamos.

Un tema completamente diferente es Detección abierta con malware específico de x86-ISA de [Chris Hernandez], cuya idea es utilizar diferentes versiones de Arquitecturas Instruccionales X86 para evitar la detección de malware. Suponiendo que una caja de arena o un sistema aislado que controla el malware utiliza una arquitectura diferente a la del sistema de destino, el uso de códigos de operación no admitidos por el sistema de detección podría evitar que analice correctamente el código malicioso y posiblemente permitir que un atacante lo ejecute con éxito en el sistema de destino. . . Hay muchas suposiciones aquí, sí, pero recuerde, se trata de divertirse dividiendo cosas como la educación, tal vez la instrucción ilegal más de lo que parece.

Es igualmente digno de mención Ataques de memoria viva y análisis forense de [Ulf Frisk], autor de PCILeech y MemProcFS. Tanto las herramientas como la charla tratan sobre DMA sobre ataques PCIe, que [Ulf] muestra y, entre otras cosas, vuelve la cabeza cuando compromete el sistema Kali Linux de Windows, ¡listo!

Privacidad y Filosofía

Por supuesto, ninguna conferencia de seguridad estaría completa sin hablar de privacidad. Teniendo en cuenta que Malobei ocurrió dos semanas antes de que COVID-19 fuera declarada pandemia y los programas de seguimiento para prevenir su propagación se han convertido en un tema normal de debate, [Anne Oikarinen] y [Tuisku Sarrala] discutiendo Modelado de amenazas a la privacidad basado en el ciclo de vida de los datos parece aún más relevante hoy. Al observar los diferentes aspectos y etapas del ciclo de vida de los datos, y las posibles preocupaciones de privacidad que causan, su mensaje principal está dirigido a los desarrolladores que pueden no darse cuenta de cómo su propia opinión sobre los datos puede exponer o poner en peligro a otros.

[Antti Kurittu] muestra un sesgo cognitivo similar en su Cambio de paradigma Discusión: los desarrolladores a menudo no ven cómo son parte de una pequeña élite técnica que comprende cómo funcionan realmente las computadoras. La mayoría de la población, por otro lado, que también es la mayoría de los usuarios de hoy, sin embargo, no, y tampoco están lo suficientemente interesados. Pero esta discrepancia provoca errores de usuario infames y convierte al propio usuario en un problema de seguridad. Cómo [Antti] dice, "si es difícil de usar, es difícil de usar de manera segura", y tal vez sea hora de que reconsideremos seriamente las interfaces de usuario.

Las charlas principales

Claro que culpar al usuario es fácil, pero no resolverá nada como [Mikko Hyppönen], Padre de seguridad de Finlandia y, entre muchas otras cosas, curador del Museo de Malware, se dirige en Viernes Resumen. Comienza con el estado general de Internet, cómo se está convirtiendo en algo tan fundamental para la sociedad como la electricidad y las consecuencias de este desarrollo desde una perspectiva de seguridad. Al mostrar una serie de personas de alto perfil y escenarios del pasado, introduce el aprendizaje automático en la ecuación y forma su predicción sobre el futuro del malware.

Es una charla completamente diferente Resumen del sábado dada por [Jayson E. Street], y si tuviera que elegir solo un discurso de desobediencia, este es el más compatible con cualquier pirata informático actual y futuro, y cualquier persona que interactúe con la comunidad de piratería informática. Usando referencias de Matrix, nos recuerda el significado de ser un hacker, y cómo no se trata de computadoras, sino de una pasión y un desafío a la norma que requiere una curiosidad constante, con muchos fracasos por delante.

La comunidad de piratería es un mundo múltiple en el que todo el mundo tiene que hacerlo y tiene sus propias ideas y objetivos, y nadie tendrá la única respuesta verdadera a nada: pensar que eso sería todo lo contrario de lo que se supone que representa la comunidad. En conclusión, [Jayson] organiza la partitura con todo el cuidado, el juicio y la discriminación de la comunidad, y anima a todos a dejar de ser sus mayores críticos y simplemente hacer lo que les gusta hacer, independientemente de lo que los demás puedan pensar.

Desobedecer al organizador principal [Benjamin Särkkä] entrega un mensaje similar en la conferencia Comentarios abiertosy, finalmente, eso es realmente de lo que tratan las conferencias y la comunidad a la que se dirigen: aprender, compartir conocimientos, ser un apasionado de las cosas que amas hacer y disfrutar de un lugar circundante, tal vez por primera vez, sientes que pertenecer.

  • RW versión 0.0.3 dice:

    "Cómo [Antti] dice, "si es difícil de usar, es difícil de usar de forma segura" "

    Me recuerda a ese viejo dicho "Si quieres un sistema Linux completamente seguro, constrúyelo desde cero desde la fuente" sí, no, tengo la mitad de una pista y confío en que alguna elección aleatoria de descuido no tendrá tantos boquiabiertos agujeros como definitivamente lo haría durante mi primer intento. Las quejas de seguridad sobre los distritos populares son más como "algunas tejas sueltas si sabes dónde mirar en el techo" versus "Olvidé por completo (o no sabía cómo) instalar puertas y ventanas en la planta baja". Este problema, ju. cuantos más botones y diales de seguridad pueda configurar, más "control" tendrá, pero es más probable que los configure de manera incorrecta, errónea, descuidada o claramente sin conocimiento.

    • Freddie Chopin dice:

      Me gusta BSD, especialmente OpenBSD (seguro por defecto), aunque en Linux hubo un momento en que Torvalds y su Linux Foundation no se preocupaban por los aficionados y los novatos ... Cuando su única experiencia de humanidad era un asiento de inodoro que se les acercaba por un pasillo de acero. . Me alegro de que Ubuntu haya venido y haya cambiado esa actitud.

      • JustMeAgain dice:

        ¿De dónde diablos salió todo esto ???

  • Steven13 dice:

    > El bloqueo inducido por el coronavirus ciertamente hace la vida más fácil para los socialmente ansiosos y torpes entre nosotros

    No, simplemente no lo hagas, no asumas que tus experiencias son universales, especialmente cuando se trata de salud mental. Es muy probable que alguien pueda tratar a una persona socialmente ansiosa con menos amabilidad después de haber sido influenciado por tales comentarios. Como miembro de una sociedad con la responsabilidad de utilizar una plataforma con un gran número de lectores, tiene la responsabilidad de tratar de evitar influir en las personas de formas que puedan causar daño.

  • JRD dice:

    Ho. Mío. Dios. El desempeño de Chris Kubecka en Boeing da miedo.

    Y si solo la compañía hubiera gastado una mínima fracción de la cantidad que gastaron en demandas de seguridad * básicas * aterradoras, no estarían en la posición que ella muestra. Los ejecutivos y abogados más caros, los desarrolladores subcontratados más baratos: ¡carreteras, muchachos!

    • RW versión 0.0.1 dice:

      Probablemente nada que ver con la probabilidad de que todos los desarrolladores disponibles para contratar en Seattle fueran lo suficientemente incompetentes como para incluso ser despedidos por Microsoft. 😀

Pedro Molina
Pedro Molina

Deja una respuesta

Tu dirección de correo electrónico no será publicada.