Her finner du programmet for HackCon#3.
18.00 - 19.00 Registrering
08.15 Dørene åpnes
08.15 - 09.00 Registrering
09.00 - 09.15 Administrativ informasjon
Gjennomgang av agenda for HackCon#3
09.20 - 10.15 Hackeren, hvem er egentlig han? - US
Det har vært mange myter rundt hva en hacker er, og ikke minst hvem han eller hun er. I tillegg til mange romaner og hightech-filmer, bidrar også media til at bildet av en hacker er noe "spennende", en "halvkriminell" som kan få til det meste med noen tastetrykk, og ikke minst kan kontrollere ditt liv ved hjelp av noen få kommandoer.
I denne sesjonen ser vi på hva en hacker egentlig er, historien til hackerne, og hva en hacker vil være i fremtiden. Foredragsholder er Jesse Krembs, som også er co-founder av Hacker Foundation. Han vil holde foredraget: "A past to learn from, a future worth building", med følgende innhold: "I'm gearing it for an 50 minutes of content, 30 minutes of hacker history & then 20 minutes of what about the future".
I tillegg til å være en dyktig foredragsholder, er Jesse også en meget dyktig og kunnskapsrik person. Dette et foredrag du bør få med deg hvis du har lurt på hvem og hva en hacker egentlig er, det vil si de ulike hackerkategoriene, begreper, at det legges forskjellig ting i hackerbegrepet og brukes ulikt - f.eks. er ordet Hack i Hackcon brukt med utgangspunkt i bl.a. det opprinnelige begrepet som oppstå på MIT på 1960 tallet, d.v.s. de som er dedikerte lovlydige personer som ville ha sine systemer sikret mot urettmessig tilgang og testet disse til den yttereste grense (husk på man også være en astronomi-hacker, eller jus-hacker (han hacket arveloven, eller §36-hacker i avtaleloven for den slags skyld). I dag brukes dessverre begrepet upresist av pressen når de egentlig burde bruke f.eks. begrepet cracker eller uten og definere hva de mener med det når de benytter begrepet.
10.30 - 12.00 Sårbarheter i satellitter og access control systems - UK
Dette er felles todelt foredrag a 45 minutter. Det ene foredraget omhandler access control systems og holdes av Zac Franken, mens det andre omhandler satellitter og holdes av Major Malfunction.
Access control systems:
Token based access control systems og biometri - er du beskyttet med to skruer og en plastikboks? Kanskje....?
Denne sesjonen vil gi en oversikt av vanlige aksess og biometriske systemer. Dette vil inkludere nøkkelelementer av deres implementasjon, samt en dybdeanalyse av deres svakheter og sårbarheter. Zac har sammen Major utviklet en "spesiell" hardware for å "teste" disse systemene. Zac vil på HackCon vil gjøre rede for hvordan disse systemene kan bli satt ut hvis man ikke sikrer seg mot dette.
Zac er fra UK og er meget fagelig dyktig innen området "access control systems". Hen er også meget god foredragsholder og pedagog. Han anser fagområdet som sin store lidenskap. For mer informasjon om Zac kan du google på han.
Satellitter:
Mer og mer av vår kommunikasjon går over satellitter. Satellittene er blitt mer avanserte, og benyttes i stadig større grad til forskjellige formål. Spørsmålet er hvor sikre er de? Major Malfunction (MM) har forsket på dette i det siste, og vil på HackCon presentere sin siste forskning innenfor dette området.
Han vil i denne sesjonen derfor gå gjennom grunnprinsippene for satellitter, og deretter gjennomgå endel sårbarheter og svakheter i forbindelse med satellitter og satellittkommunikasjon. Dette er et område som sjelden er fremme, men er et fascinerende studie i seg selv. Dette særlig når man tenker etter hvordan disse "duppedingsene" styrer våre liv med de svakheter som de inneholder. Dette er et foredrag du bør få med deg hvis du er opptatt av moderne trådløse kommunikasjonsformer og hvordan du skal sikre deg mot dette hvis du benytter denne type kommunikasjon.
Foredraget holdes av Major Malfunction (MM). Han holdt foredrag på HackCon i fjor og gav deltakerne en "eye opner" innenfor RFID og magnetstriper. Han bor i UK og holder endel foredrag internasjonalt. Han er White Hat hacker siden slutten av 70 tallet. Det er mye å skrive om MM, hans forskning, og det han har funnet av sårbarheter. For å få mer informasjon kan du google på han.
12.00 - 13.00 Lunsj
13.00 - 14.00 Psykologiens hemmeligheter - Norge
Som tidligere skrevet er nettverket av den oppfatning at det må tre pilarer (digital, fysisk og psykologisk sikkerhet) til for å kunne ivareta informasjonssikkerheten, og at alle disse skal belyses på HackCon. Denne sesjonen omhandler derfor psykologisk sikkerhet. I år har vi valgt litt annerledes vinkling på det hele, og temaet denne gangen er hvordan stater manipulerer deg, meg og samfunnet.
Staten er et offentlig organ hvor man forventer at befolkningens interesser sannferdig blir ivaretatt. Dette spesielt ut fra det prinsipp at det er befolkning som velger den øverste ledelsen i staten basert på demokratiske prinsipper. Hvor reelt dette faktisk er, vil alltid være et diskusjonsspørsmål.
Media er gjerne betegnet som den 4. statsmakt, den skal være uavhengig, uten koblinger, ha integritet og troverdighet. Om dette er alltid er tilfellet, kan være et diskusjonsspørsmål.
Det interessante blir hvis disse to "statsmaktene" benytter, eller utnytter hverandre i forhold til egne interesser som kanskje ikke er til beste for befolkningen, selv om det på overflaten kan virke slik. Denne sesjonen tar for seg hvordan stater benytter media til å gjennomføre sine "operasjoner" mot befolkningen, samt hvordan media lar seg utnytte både bevist og ubevist. Gjennom praktiske eksempler vil man gå gjennom hvilke metodikk, typer av psykologiske tiltak, kommunikasjonskanaler, tidsrekkefølge og strategier stater bruker for å påvirke samfunnet og få deg til å gjøre de handlinger de vil gjennom media. Videre vil man se på koblinger og konstellasjoner mellom de to "statsmaktene", og hvordan dette effektiviserer og optimaliserer den statlige operasjonen ovenfor samfunnet. Denne sesjonen bør du få med deg hvis du vil vite, og få et innblikk i hvordan legale aktører benytter de troverdige informasjonskanalene til å påvirke og få deg til og gjør de handlingene som de ønsker - som du kanskje egentlig ikke ha villet hvis du hadde vist hele "sannheten". Det vi egentlig snakker om her er propaganda, samt dets virkemidler og effektivitet i dagens samfunn.
Foredragsholder er ass. professor Oddgeir Tveiten fra universitet i Agder. Han har spesialkunnskap innenfor området propaganda og har publisert en rekke arbeider innefor dette området. Han er også vel kjent innenfor dette området, og er en god pedagog og foredragsholder. Du finner mer informasjon om Oddgeir ved å google på han.
14.15 - 15.30 Hvordan finne IDS/IPS systemer - US
Gode IDS/IPS systemer er kostbare inntretninger som skal bidra til å sikre infrastrukturen i organisasjonen. Er det mulig å finne IDS/IPS systemer i nettet i en organisasjon? Mange produsenter hevder at dette ikke er mulig.
Denne sesjonen vil gå gjennom noen teknikker som finnes for å fingerprinte og mappe IDS/IPS signaturer, standard open-source verktøy for identifisere om en IPS er i nettverket. I tillegg vil man gå gjennom hvilke stepp man bør følge for å beskytte seg mot disse "angrepene".
Foredraget vil bli holdt av Simpel Nomad. Man kan si mye om Simpel Nomad, i likehet med Richard, anses Richard og Simpel Nomad som meget kunnskapsrike og anses for å være levende oppslagverk innenfor sikkerhet og teknologi.
15.45 - 16.45 Sårbarheter i elektroniske låsesystemer - US
Som tidligere skrevet er nettverket av den oppfatning at det må tre pilarer (digital, fysisk og psykologisk sikkerhet) til for å kunne ivareta informasjonssikkerheten, og at alle disse skal belyses på HackCon. Denne sesjonen omhandler derfor fysisk sikkerhet.
Vi har tidligere hatt Toools og Deviant for å presentere fysisk sikkerhet. Denne gangen har vi valgt å gå et steg lengere og presenterer elektroniske låsesystemer. På tilsvarende måte som de fysiske låsene, presenteres i denne sesjonen hvordan de elektroniske låsemekanismene fungerer. Ofte er man beskyttet av superavanserte elektroniske kodelåser, men vet du hvordan er de egentlig er bygd opp? Er det to skruer som utgjør hele sikkerhetssystemet? I denne sesjonen ser vi på hvilke svakheter og sårbarheter de har slik at du kan sikre deg mot disse.
Foredragsholder er Daviant Ollam og Q. Deviant vil kort gå gjennom hvordan den fysiske sikkerheten er lagt opp, mens Q vil gå gjennom hvordan de elektroniske systemer er integrert i dette, og hvordan de fungerer.
Deviant har vært på HackCon før, og er en dyktig foredragsholder. Q er også en pragmatiker og praktiker, han pedagogiske fremføring gjør at foredraget er behagelig og høre på. Her vi du kunne få med deg informasjon om sikkerheten i elektroniske låsesystemer som er vital for deg når du skal sikre områder og systemer.
Dette er et foredrag du bør få med deg hvis du ønsker å lære mer om hvordan du kan sikre deg og dine mot at uvedkommende for tilgang for eksempel til dine sensitive data.
17.00 - 18.00 Trådløs sikkerhet, hvor sikkert er det egentlig? - Canada
Sikkerhet i trådløsesystemer har vært mye diskutert i media, og flere "interesser" påstår at sikkerheten er god - men hvor god er sikkerheten egentlig? Sårbarheten vil alltid avheng av hvilken risiko man ønsker å ta og til hvilken kost/nytte, men spørsmålet er likevel, bør ikke den innbygde sikkerheten være av en slik art at integriteten opprettholdes?
I denne sesjonen går man gjennom trådløsesystemer, og ser på svakheter og sårbarheter i disse. Foredragsholder er Renderman. Renderman har jobbet med WiFi i en årrekke, og er en av de fremste som kan dette på "fingerspissene" (han er meget dyktig innenfor dette området). Han kommer til å gå gjennom flere prosjekter som han har jobbet med, samt vise flere eksempler på forskjellige sårbarheter innen trådløse systemer.
Renderman er en god foredragsholder, og du bør få med deg dette foredraget hvis du er opptatt av trådløs sikkerhet i forskjellige settinger slik at du kan sikre deg best mulig.
18.30 - 23.30 Sosialt arrangement
Her har du muligheten til å knytte kontakter og bli kjent med andre. Lett middag og underholdning med mer. I år har vi igjen vår egen servering, slik som på HackCon#1 - dvs at det blir en tradisjonsrik sosial kveld med mange innslag som før, jf xHCon.
20.00 Utdeling av premier for vinnerne av konkurransene, samt utdeling av HackCon prisen.
23.00 Dørene låses.
08.15 Dørene åpnes
09.00 - 09.45 Trusselen i kablene - Frankrike
Det er antatt av cyberkriminalitet utgjør mellom $50 - $100 milliarder dollar hvert år på verdensbasis, og er nå i ferd med å tangere "omsetningen" i forhold til ulovlig narkotikavirksomhet.
Brukeropplæring, bedre sikkerhetsrutiner og årvåkenhet har gjort at cyberkriminelle med finansielle motiver finner nye "innovative" metoder, gjerne med høy grad av psykologisk innslag, til å angripe sine mål.
Basert på kvantifiserte data, erfaringer, innsamling av informasjon og sammenstilling av data, vil dette foredraget prøve å belyse hvem som er cyberkriminelle, hvordan de jobber og hvilke metodikk bruker de. I tillegg vil man se på hvorfor de lykkes med sine angrep, samt antatt fremtidig utvikling innenfor dette. Skillet mellom tradisjonell og cyberkriminalitet blir også stadig mindre, sesjonen vil også påpeke hvordan Web 2.0 bidrar til at grensen mellom disse to kriminalitetsformene er i ferd med å viskes bort. Dette er et foredrag du bør få med deg, ettersom det forteller deg på en meget pedagogisk måte hvilke trusler du står ovenfor fra "den andre siden".
Foredragsholder er Guillaume Lovet som arbeider i Fortinet. Han er meget kunnskapsrik innen fagfeltet, og er en dyktig foredragsholder. Han har skrevet flere artikler, bl.a. "The Business Models of Cyber Criminals", i tillegg bidrar han på forskjellige plan i flere internasjonale fora, du kan for eksempel ta en titt på www.out-law.com/page-7791. Det er mye å skrive om Guillaume, men det beste måte er nok å ta og google på han.
10.00 - 11.00 Siste utvikling innen Tor - US
Tor er utviklet av Roger Dingledine og Nick Mathewson. Roger er meget opptatt og pleier som regel å si nei til foredrag, men hadde prioritert HackCon i fjor. Dessverre ble han syk og måtte holde sengen, men han kommer til HackCon i år!
Tor prosjektet går ut på: Tor is a toolset for a wide range of organizations and people that want to improve their safety and security on the Internet. Using Tor can help you anonymize web browsing and publishing, instant messaging, IRC, SSH, and other applications that use the TCP protocol. Tor also provides a platform on which software developers can build new applications with built-in anonymity, safety, and privacy features. Tor aims to defend against traffic analysis, a form of network surveillance that threatens personal anonymity and privacy, confidential business activities and relationships, and state security. Communications are bounced around a distributed network of servers called onion routers, protecting you from websites that build profiles of your interests, local eavesdroppers that read your data or learn what sites you visit, and even the onion routers themselves.
Tor har utviklet seg mye siden i fjor og Roger kommer til å gå kort gjennom filosofien og ideen bak Tor, og deretter konsentrere seg om alle "nyvinningene". Her finner om mer informasjon om Roger, samt Tor.
11.15 - 12.15 How to freak out your Satellite Navigation - Italia
RDS-TMC is a standard based on RDS (Radio Data System) for communicating over FM radio Traffic Information for Satellite Navigation Systems. All modern in-car Satellite Navigation systems sold in Europe use RDS-TMC to receive broadcasts containing up to date information about traffic conditions such as queues and accidents and provide detours in case they affect the plotted course. The system is increasingly being used around Europe and North America.
The audience will be introduced to RDS/RDS-TMC concepts and protocols and we'll show how to decode/encode such messages using a standard PC and cheap home-made electronics, with the intent of injecting information in the broadcast RDS-TMC stream manipulating the information displayed by the satellite navigator.
We'll discover the obscure (but scary!) messages that can be broadcast (and that are not usually seen over legitimate RDS-TMC traffic), the limits of standard SatNav systems when flooded with unusual messages and the role that RDS-TMC injection / jamming can play in social engineering attempts.
This talk is been held by Daniele Bianco and Andrea Barisani from Italy.
Andrea is being an active member of the international Open Source and security community, he's maintainer/author of the tenshi, ftester and openssh-lpk projects, and he's been involved in the Open Source Security Testing Methodology Manual, and becoming a ISECOM Core Team member.
For the time being Daniele is working as a consultant for Italian astrophysics research institutes, involving support for the design, development and the administration of IT infrastructure. One of his hobbies has always been playing with hardware and recently he has been pointing his attention on in-car wireless and navigation systems. He's the resident "Hardware Hacker" for international consultancy Inverse Path Ltd.
This talk is very very good, and from the "nettverkets" point of view, you don't want to miss the lecture if you have a car, or if your companies is dealing with transportation, or if you have Satellite Navigation Systems, or in fact, you don't want to miss it at all - this is importent for you, so you can be secure in every day life.
12.15 - 13.15 Lunsj
13.15 - 14.00 Frustrende sikkerhetsløsninger i Norge! - Norge
Det kan stilles spørsmålstegn ved hvordan en rekke sikkerhetsløsninger er implementert, dette gjelder alt fra nettbanker, online shopping, til "dumme" pålogginger.
Foredraget vil gå gjennom og påpeke på en praktisk måte en rekke løsninger som kanskje burde ha vært implementert annerledes slik at man kan bli sikrere i sin hverdag.
Foredragsholder er Dr. Håkon D. Spørck fra nettverket. Dr. Håkon D. Spørck (en av grunnleggerne) har vært med i nettverket lenge og er dyktig innen sikkerhet.
Nettverket har i denne sesjonen også invitert NuS (Norwegian underground Society). Dette er en gammel norsk "undergrunnsgruppe" med røtter helt tilbake til 90 tallet, men som har holdt en svært lav profil. Selv om fleste i NuS har svært "aktverdige" jobber i en rekke større kjente selskaper/offentlige institusjoner i dag, besitter de kunnskap som fleste av oss vil kunne "misunne". Det pågår "forhandlinger" mellom nettverket og NuS, om NuS vil/kan si noe om hvordan det står til med sikkerheten i Norge. Vi kommer tilbake med mer informasjon når forholdet er avklart.
NB - dette er en presisering for de som ikke var på HackCon#3 (dette gjøres fordi de som ikke var der og de ikke vet hva HackCon går ut på kan misforstå budskapet ovenfor): Som nevnt under HackCon#3 - NuS finnes ikke og har aldri eksistert. Dette var en undersøkelse/test i forbindelse med foredraget til ass. professor Oddgeir Tveiten for å undersøke hvor enkelt og ukritisk vi godtar informasjonen som tilflyter oss og tror at det er "sannheten" (tilsvarende som vi gjorde under HackCon#4 med heisen - selv om Frode...! ødela noe av testen, jf testen i HackCon#5 - de som deltar på HackCon vet jo nå at man hvert år lager en oppgave/utfordring for å se om deltakerne er oppmerksomme på sin sikkerhet i en travel hverdag). Som resultatet bekreftet, trodde fleste av deltakerne at NuS eksisterte og hadde eksistert i lang tid, det var faktisk som noen til og "viste" noen som var med der. Som videre påpekt - grunnen til at vi gjør disse testene er for å bevisgjøre deltakerne at man må være kritisk til den informasjonen som man mottar, ellers kan man lett bli manipulert i en travel hverdag.
14.15 - 15.00 Sikkerhet og sårbarheter i webapplikasjoner - Norge
Utvikler du/dere egne webapplikasjoner, eller har du/dere kjøpt ferdige webapplikasjoner? Hvordan er sikkerheten i disse? Har man kjørt pentesting for se om de holder akseptabel sikkerhetsnivå? Det viser seg at det syndes mye på applikasjonssiden, og at dette begynner etter hvert å bli det svakeste ledd når det gjelder sikkerhet i forhold til web. I denne sesjonen setter vi fokus på webapplikasjoner.
Foredraget vil omhandler hvorfor dagens webapplikasjoner er sårbare. Foredraget vil først gi en introduksjon til forskjellige typer sikkerhetsfeil som gjøres i webapplikasjoner, for deretter å gå i dybden på noen av de vanligste feilene og hvordan man skal sikre seg best mulig.
Foredragsholder er Erlend Oftedal. Han er meget kunnskapsrik innen området og du kan lese mer om han, og hans "forskning" i hans blog. Dette foredraget bør du få med deg hvis du eller din organisasjon har webapplikasjoner/webserver.
15.15 - 16.00 Dark Corners of Windows - Using Code Characteristics to Find Security Bugs - UK
The talk will focus on methods we have used to identify high risk components that need special attention in the form of design and code reviews. We will be covering the following topics:
- Recap on security review process for Windows and where do we need to improve things?
- What makes code high risk and combination of attackable surface, the security guarantees made and the quality of the design and code.
- How we identify and measure attack surface Components.
- How we identify components that make security guarantees.
- How we identify code quality (or at least where code is likely to be poor, more bug prone or simply naive).
- Using run-time analysis to identify which components run at high privilege Levels.
- How we add all this together to produce meaningful metrics.
- How this all fits (or will fit) into the Windows security review process.
- Case studies of where we?ve used this to help track down serious bugs.
- Future plans to automate security testing based on the risk score outcome and code characteristics.
Ian Hellen is a Senior Security Engineer in Windows Security Assurance (aka SWI) at Microsoft Corp. He is currently running the security design reviews for Windows core and server divisions and ran the security design reviews for Server 2008 and Vista. Also, he?s a part-time writer of tools to determine security risk. Prior to that, Ian spent two years in the Security Engineering dept. Before becoming Microsoft FTE, he consulted there for 7 years, working with enterprise customers on infrastructure and application security. He?s written a couple of (not-very-famous) books on Wireless LAN Security and several other papers on a variety of security topics.
16.05 - 16.15 Oppsummering og avslutning
18.00 ----> Avslutning for crewet og foredragsholdere