Большой рассказ про BlackHat USA’2014

Буквально на днях (2-7 августа) прошла самая известная конференция в мире по безопасности — BlackHat USA'2014 в которой мы приняли участие во всех её секциях: тренинги, выступления с докладами и участие как спонсоры со стойкой в бизнес зале. Много интересного, личные впечатления да и в в целом — подробно про конфу под катом! Весомые фотографии, будьте осторожны

Итак, про BlackHat. BlackHat — одна из самых старых и известных конференций в мире по безопасности, проходит в течение года в разных частях мира, но самая «главная» — именно в США, Лас Вегасе. Чаще всего самые крутые доклады впервые можно услышать именно тут, так как многие ресерчеры «держат» до последнего свои результаты, ожидая выступления именно на BH. В общем, именно там мы и побывали :)

Место проведения — отель Mandalay Bay (с весьма нетривиальным планом — довольно легко заблудиться)

Часть первая — тренинги

Как я сказал, BH «состоит» из трех частей. Первая — тренинги (2-5 августа, 4 дня). Суть такова: разные компании и независимые ресерчеры подают заявки с описанием тренинга по теме, которая как-либо относится к ИБ (реверс, веб, сети, соц. инженерия, hardware хакинг и т.п.). Организаторы рассматривают заявки, публикуют прошедшие отбор тренинги на сайте и после сами отвечают за набор студентов на тренинг, принимают оплату (средняя цена ~ 2-4 тысячи долларов) и занимаются другими орг. вопросами (предоставление комнаты для самого тренинга, типичное оборудование, обеды и т.п.). Мы также подали заявку c темой ENTERPRISE BUSINESS APPLICATION SECURITY: ATTACK AND DEFENSE ^[1] и прошли отбор, став первой компанией в РФ, кто ведёт тренинг на BlackHat! Были распроданы почти все места.

На тренинге с AlexandrPolyakov ^[2]

Стоит отметить, что для меня это был третий тренинг с этой темой (первый был в Дании вместе с chipik ^[3] (для разных корпоративных заказчиков), второй на Hack In Paris ^[4] во Франции по схожей схеме с BlackHat и третий, собственно, на BlackHat). За это время я понял, что уровень студентов очень сильно «прыгает» и практически невозможно подготовить материал одного уровня — часть народа переписывает эксплойт еще до того, как ты его объяснил, а другие сидят на месте не зная как скопировать из cmd в cmd и спрашивают, что такое Python. Поэтому важно уметь учить всех так, чтобы все остались довольны и получили то, чего ждут от тренинга :]

BlackHat выделился тем, что все же было больше «шарящих» людей, умеющих четко и быстро выполнять практические задания и оценивать весь фан от некоторых векторов атак.
Закончив два дня тренинга, научив людей как ломать SAP, эксплуатировать уязвимости и мисконфиги в Oracle, а также другие бизнес приложения от Oracle и Microsoft было два дня перерыва (некоторые другие тренинги шли дольше или стартовали позже). За это время кто куда — кто в LA, кто на Grand Canyon или куда-нибудь еще поближе, чтобы успеть вернуться к началу второй и третьей части конференции.

Немного про цены. Средний обед дороже, чем обычно — $12-14, билет на двоих на автобусе Las Vegas — LA — Las Vegas = $90, чуть дороже можно слетать самолетом, если заранее купить билеты (я всегда хотел съездить именно на автобусе между городами, сбылось, больше не хочется). Гостиницы очень дешевые — что-то очень простое в центре Вегаса с вайфаем и завтраками — 30 баксов, если хороший отель (например, где проходит конференция) — от 100 и выше в сутки (цена самого обычного отеля в Москве). Передвижение почти всегда только на такси — выходит около 10 за поездку внутри города (по стрипу, центральная улица). Множество и платных, и бесплатных развлечений (например огненное шоу, фонтаны у Белладжио и т.п.). Ну и везде чаевые от 15% и налоги :)

Часть 2 и 3 — выставка вендоров и доклады

Совмещаю эти части, так как они идут параллельно (6-7 августа).
Про выставку.

Фото с сайта blackhat. Выставочный зал

Если компания желает проспонсировать BlackHat, то естественно она получает что-то взамен (здесь ^[5] pdf'ка с ценами и плюшками). Мы были там вот с такой стойкой:

Здесь почти вся наша команда, принимавшая участие на BlackHat, исключая dark_k3y ^[6], читает доклад про АСУ ТП

Итого — здоровенный зал, где просто куча вендоров, около каждой стойки раздают какие-нибудь плюшки (порой довольно дорогие — за какую-нибудь рандомную мгновенную лотерею могут перепасть призы по $100+) и пытаются тебе что-нибудь рассказать про их продукт. Но предварительно каждый на будке считывает ваш NFC бейдж, где ваша почта, имя и другие данные… И в следующий понедельник после конфы можно будет обнаружить кучу спама :) Также встречались совершенно не хакерские соревнования, типа стрельбы по уткам. Хотя, иногда встречались локальные CTF'ы (просто в рамках выставки).

С chipik ^[3] пытаемся выиграть в кикер и забрать приз

Все же про хакерские соревнования — в парочке из них принял участия — от HP (дают 15 минут, нужно найти типичные веб баги, 10 тасков, easy) и от Symantec — там было сложнее да и главный приз — 5к у.е. (никто не взял). У меня получилось взять несколько флагов честным путем и случайно похакать бэкап сервер через MS08-067 (весьма странно, что была такая старая непропатченная машина), где были почти все флаги :] В общем перепали разные штуки, которые раздавались самым стойким и кто хоть что-то решил (во врайтапе смысла нет).

Доклады — эпичная часть конференции. Думаю, многие слышали про доклад как деанонимизировать любого юзера в TOR за $3000 ^[7] и про его последующую отмену ^[8], это все на BlackHat как и многие другие страсти и интриги. Также это отличное время лично познакомиться со многими известными ресерчерами.

От нашей компании был доклад про то, как взломать ERP систему через токовую петлю ^[9] (чего только одно название стоит, да?) от dark_k3y ^[6]. Кстати, думаю, что как раз уместно здесь вставить абзац от него, раз обсуждаем тему докладов:

Из тех докладов, на которые удалось сходить можно выделить несколько самых интересных. Во-первых это доклад Jeong Wook Oh
«REVERSE ENGINEERING FLASH MEMORY FOR FUN AND BENEFIT» (реверс-инжиниринг флеш-памяти для фана и дохода), в котором
показывались приемы восстановления и реверс-инжиниринга прошивок из NAND-памяти. При этом, спикер плясал от печки, то есть
от того как правильно выпаять NAND-чип из платы устройства и до того, как разбирать прошивку в IDA, при этом демонстрировались
разработанные утилиты для корректного извлечения прошивки из чипов разных производителей. Еще очень понравился доклад
«MULTIPATH TCP: BREAKING TODAY'S NETWORKS WITH TOMORROW'S PROTOCOLS» рассказывающий о расширении протокола TCP — MPTCP и
проблемах безопасности, которые могут возникнуть при его использовании. Ну и конечно традиционно был очень хорошо Чарли Миллер
со своим очередным исследованием безопасности автомобилей «A SURVEY OF REMOTE AUTOMOTIVE ATTACK SURFACES».

Бонусная часть: вечеринки

Есть еще традиционное окончание дня — вечеринки от различных компаний в конце дня (обычно дней докладов). Это выглядит так: идем на www.blackhat.com/us-14/party-and-networking.html ^[10], также просто общаемся и смотрим по сторонам в бизнес зале, выбираем вечеринки в удобное время (обычно это 2-3 вечеринки на вечер, с например с 7 до 9 вечера и далее), регистрируемся (иногда требуется именно личная запись на будке в бизнес зале) и в назначенное время идем тусить :) Бесплатные горячительные напитки, коктейли, музыка и т.п. — все для пришедших на вечеринку. При этом я не встретил ни на одной вечеринке какой-либо рекламы или пиара. Просто, как будто все собрались в одном месте и отдыхают.

Вечерника в клубе hakkasan от Microsoft

В остатке (имхо)

BlackHat — очень круто и дорого (на тот же DefCon вход стоит $220, сюда $2k+). Но есть и разочарования. Я походил по разным будкам компаний и многие продают такое огромное количество… Совершенно невпечатляющих продуктов. И у многих проблема в целом с подготовкой. Я понимаю, на стойках стоят в основном sales менеджеры, но они же должны знать хотя бы ОС на которой может работать их продукт. Или просто встречаешь совершенно типовой продукт для еще одного анализа сети и построения её карты. Некоторые довольно честно отвечают — «А вы знаете продукт ХХХ? Так вот, мы тоже самое, только дешевле» (при этом стойка продукта ХХХ стоит напротив). Возможно, просто технарям не надо заходить в бизнес зал, на то он и бизнес :) Но есть и крутые части — тренинги и доклады, они на отличном уровне.

А в Вегасе и конкретно на BlackHat — круто, определенно стоит ехать не только ради фана, но и опыта, личных знакомств и знаний.

Автор: BeLove

Источник ^[11]