Idén is sikeres volt az Ethical Hacking Konferencia tehetségkutató programja, melynek nyertese egy ifjú hekker, aki dróneltérítést hajt végre a hallgatóság előtt. A május 12-ei esemény további újdonságai közé sorolható a nagyvállalati nyomtató- és szkennerteszt. melynek keretében az előadók a biztonsági szempontból elhanyagolt eszközökből nyernek ki adminisztrátori jelszót, vagy éppen küldenek maguknak másolatot titkos vállalati anyagok szkenneléseiből.
Drónfejlesztés és biztonság?
Megvan az idei Ethical Hacking Konferencia tehetségkutatójának nyertese. Jelenleg a Trentói Egyetemen tanuló Szabó Márk a május 12-ei eseményen egy drónt fog térdre kényszeríteni, pontosabban hekkelése révén átveszi az irányítását. A biztonság és adatvédelem szakos hallgató házi feladatként kapta, hogy vizsgáljon drónkódot, ekkor fedezte fel, hogy a wifi alapú irányítást alkalmazó eszközök esetében a biztonság sokadrangú kérdés volt a fejlesztés során. „A wifin keresztül irányítható drónok általában nyílt hálózaton kommunikálnak, s többnyire nélkülöznek mindenféle titkosítást vagy jelszavas azonosítást. Márk előadásában néhány netről is letölthető program segítségével tör majd be a már lebegő drónba, majd root jogosultságot szerez a fedélzeti számítógépén, s végül a tulajdonos nevében küld irányítási parancsokat” – ismertette a dróneltérítés főbb lépéseit Fóti Marcell, az Ethical Hacking Konferenciát szervező NetAcademia Oktatóközpont ügyvezetője.
Fóti Marcell
A rosszindulatú kód nyomában
A mostanra kibővülő és véglegessé váló konferenciaprogram további újdonságokat is tartalmaz. Nyitó előadásában Peter Košinár, az ESET szakértője egy nyomozásra invitálja a hallgatóságot, melynek fókuszában egy USB-kulcson talált ismeretlen rosszindulatú kód áll. Bemutatja, hogyan kezdődik a kódfejtés, majd azt is, hogy milyen nehézségekkel találhatjuk magunkat szembe, amikor a rosszindulatú kód folyamatosan mozog a hálózat számítógépei között.
Amiről nem tudunk, az nem is fáj?
Vajon melyek azok az eszközök, amiket a legritkább esetben vagy talán sosem vizsgálnak egy biztonsági audit során? Hambalkó Balázs és Ronyecz Gábor a nagyvállalati nyomtatók és szkennerek világába vezeti el a hallgatóságot, ahol tapasztalataik szerint a stabil működésen túl a biztonsággal kapcsolatban ritkán akadnak kérdőjelek. Kutatásuk során öt különböző típust vizsgálnak meg három nagy és Magyarországon is elterjedt márkából. Célpontjaik között egyaránt lesznek újabb és régebbi szériák is. A konkrét eredmények sem maradnak el: 200-300 ezer forintos eszközökből pillanatok alatt nyernek ki adminisztrátori jelszót, de többek közt arra is mutatnak példát, hogyan küldhetünk magunknak a vállalat dolgozói által készített, egyébként titkos adatokat tartalmazó szkennelésekről másolatot.
Ide kapcsolódik Maros Attila előadása, aki az interneten keresztül elérhető eszközöket veszi támadásba, célpontjaként routerek, kamerák, SCADA irányító eszköz, illetve felhő alapú tárolók szolgálnak. Az online demó keretében percek alatt térképez fel sokezernyi eszközt, majd „szerez meg” közülük jó néhányat ingyen elérhető netes adatbázisokra támaszkodva, némi scriptelést alkalmazva. Végül Deim Ágoston a virtualizációs megoldások egyik leggyorsabban terjedő megoldását, a Dockert veszi górcső alá. Az előadás során áttekinti a leggyakoribb üzemeltetési hibákat, és demók segítségével hívja fel a döntéshozók és üzemeltetők figyelmét arra, hogy mire kell vigyázni a webes alkalmazásfejlesztést felgyorsító Docker alapú infrastruktúra bevetése során.
