Враження від конференції з кібербезпеки NoNameCon

Враження від конференції з кібербезпеки NoNameCon.

День другий, 4 вересня 2020

Про перший день тут: https://cutt.ly/tfblEoA

Оксана Сафронова
How 2 remove a viru$ (Як видалити вірус)
Одразу різанув вухо жорстокий слов’янській акцент а-ля ху-із-он-д’юті-тудей-май-нейм-із-боріс. Я вже стикався з дивними фактами, коли деякі технічні фахівці повністю ігнорують вимову, говорячи англійською (омг, вона сказала «самсінг»). Розуміти таку мову навіть дещо легше, ніж оригінальну, але особисто мене це настільки відволікало від суті виступу, що я не міг сконцентруватися на суті. Пригадувалися неполіткоректні радянські анекдоти про чукчів та узбеків. Тому прохання до тих, хто осягнув суть виступу Оксани – якщо виступ дійсно був цікавий та корисний, скажіть мені про це і я передивлюся його у записі.
Здається, спікер роказувала про різні маловідомі та мутні антивіруси, які вони бувають сортів та які в них є фічі.
А-а-а, «сьорч енджін»…((( Ааа, “ронґ”, «руморс», “вонт» ((( Як все це розчути?
Можливо, я занадто чутливий, але для мене це звучить як залізо по склу.

Jean-Philippe Aumasson
Post-quantum security: should you care? (Пост-квантумна безпека: чи маємо ми перейматися?)
Інтригуюча назва, оскільки питання пост-квантумної криптографії напряму впливатиме, наприклад, на безпеку криптовалют, а значить – на сам факт їх існування. Та й існуюча криптографія взагалі під загрозою. Тому що те, що практично неможливо зробити на звичайному комп’ютері, працюватиме досить швидко на квантовому комп’ютері.

Представили Жан-Філіпа як творця кількох шифрів та автора best-of-the-best книжки “Серйозна криптографія». Крутий чувак, зірка вопщєм.
Математичні формули почалися буквально з другого слайду, потім було про к’ю-біти, к’ю-байти та котика Шрьодингера, і трохи про діаметр сонячної системи.
Е-підписи можна перевипустити на пост-квантумному комп’ютері.
Все буде погано з ключами шифрування.

Зашифровані повідомлення будуть скомпрометовані назавжди
AES vs квантовий пошук: відповідь у формулах на слайдах.
AES буде зламана за 2 у 64 ступеню операцій.

Як перемогти квантовий комп’ютер. Пост-квантумна криптографія. Алгоритми не будуть зламані квантовими комп’ютерами. Страхування проти загроз квантових комп’ютерів.

NSA: у найближчому майбутньому ми очікуємо перейти до квантум-ресістант криптографії.
Гарні новини: ми маємо безпечні хеш-функції!

Підписи на основі хеш-функцій, одноразові підписи, хеш-дерево. Що буде якщо/коли квантовий компютер таки побудують.
Чи плануєте писати нову книжку про пост-криптографію? Поки недостатньо даних, але мабуть що так.
Після виступу Жана-Філіпа орги намагалися навіть аплодувати, мабуть встигли прочитати мій вчорашній звіт про перший день конференції ))

Ігнат Корчагін з CloudFlare:
Paste Wars: fighting for copypaste freedom / Не знаю як це коректно перекласти на українську, тому не буду.
Розказував про паролі, парольні менеджери та все таке.
Цитата з анонсу: «Ніхто не знає звідки воно прийшло, але це розповсюджується як хвороба: блокують функціонал вставки паролю в онлайн-формах для паролю»
Мабуть було цікаво, але вимушений був не поїхати у справах. Ех, шкода, що не зміг переглянути повністю.

Повернувся лише на середину виступу Ігора Бондаренка (Application Security Engineer в продуктовій компанії) “Захист від ботів без шкоди бізнесу”.
Чомусь виступав російською, хоча чудово володіє українською.

Не одразу зрозумів про що саме йдеться. Дослухавши стало ясно, що мова йде про захист специфічних ресурсів, які відвідує велика кількість комерційних клієнтів, типу онлайн-казино, онлайн-ігри, онлайн-тоталізатори, тощо. Захист від шкідливих активностей великих ботнетів.
Те, що капча не є панацеєю – то давно відомо. Але які додаткові засобі захисту вживаються, які в них плюси та мінуси – то було цікаво та корисно, особливо колегам, які працюють у схожих за профілем компаніях.

Власне, короткий зміст презентації досить детально викладено на сторінці розкладу конференції.
Відповіді на питання не були дуже інформативними, найчастіша відповідь: “Я не знаю”.

Одне з питань: «Чи мав бажання колись перейти у «червону команду?» – « Ні, не хотів бо це незаконно, але хотів би з ними поспілкуватися.»
Щоооо? Тобто як? Пентестери – це теж червона команда, на хвилиночку. Ethical hackers, Bug Bounty, CTF, кібер-навчання – це теж все за участі “червоної команди”. Тобто термін «червона команда» зараз здебільшого вживається у легальному сенсу. На минулій NNC перший день був “червоний”, а другий день – «синій», по кольорам нападу та захисту. Тобто це теж «незаконно», на думку спікера?
Мдя.

Наступним виступав Joe Gray (США) з презентацією
A DECEPTICON and AUTOBOT walk into a bar: Python for enhanced OPSEC
(заходять в бар Десептікон та Автобот: Пайтон для покращеної OpSec)

Чудова англійська, хоча спікер сказав, що він не спікер. Але тут він трохи збрехав, спікає він дуже непогано))
Презентація містила дуже багато тексту та булетів і ніяких смішних котиків та і взагалі ніяких картинок. Слухати було необов’язково, майже усе було написано на слайдах.

Так вже ніхто не робить років так з десять.
І чомусь не було видно відео спікера, лише його слайди.
Почав Джо з загальновідомих визначень штучного інтелекту, машинного навчання та інших очевидностей. Хм, ну ладно.
Потім було ще кілька давно відомих визначень типу «деякі жертви не підозрюють про ворожу активність аж поки не стане запізно». Та ти шо, правда?
Потім нарешті розказав про тулзу, яку він зробив – Деспетікон.

Фактично це інструмент, який за певними правилами аналізую усі твіти користувача Twitter, розбиває їх на слова та речення, відкидає гіпер-посилання та все непотрібне, і на основі всього цього аналізу генерує власні твіти.
І продемонстрував роботу Десптикона, але у вигляді коду Python та як виглядають скрипти. В кінці показав на фотках як виглядають кастомні девайси з потужним GPU.

А чо, прикольна тема. Якраз на противагу попередньому спікеру. Якраз типова робота «червоної команди». Але хіба це нелегально? Не бачу жодних проблем у легальності таких вправ.

Потім почитав про Джо; виявляється чувак стабільно бере призові місця на різних міжнародних OSINT-CTFах, публікується у різних світових ІТ-медіа. Крутий перець насправді.

Форма подачі презентації не дуже яскрава, але в цілому сама тема досить цікава та нетипова.
В самому кінці, після Thank you розказав на яких конференціях він буде виступати цьлго року. Ого, там десь з десять заходів, і до речі майже усі – Virtual.
Питання: чи отримували Ви запити від урядів чи політиків? Ні, не отримував. Інструмент працює лише з приватними акаунтами, не з офіційними.
«Яка різниця між NLP, Mashine Learning та Artificial Iintelligence?» – «AI – це маркетингова штука здебільшого, а NLP – це певна дисципліна».
Питання: який був ваш найбільший фейл? Відповідь: зазвичай це пошук «загубленого» під час тренінгів. А взагалі я фейлю кожен день.

Останній виступ конференції був знаковим: SANDWORM: Lessons from the Ukrainian Cyberwar and Beyond (SANDWORM: уроки української кібервійни та не тільки).
Тобто почалася конференція з уроків української кібервійни – і закінчується ними ж.
А розказував про це відомий журналіст та письменник Енді Грінберг (Andy Greenberg).

Старший райтер(автор) у Wired (надзвичайно вагоме та відоме видання), автор книги SANDWORM: A New Era of Cyberwar and the Hunt for the Kremlin’s Most Dangerous Hackers. Книга та уривки з неї отримали численні призи та премії різних журналістських організацій. До Wired Енді працював у якомусь журналі Forbes.
Чувак одного рівня з Кім Зеттер чи Брайяном Кребсом. Його чекали цього травня у Києві на NNC-2020, але через світову пандемію цього епохальної події не сталося. Дуже прикро. От прям до сліз.

На початку презентації Енді подякував світовій пандемії через те, що він зараз вдома, у Нью-Йорку, а потім показав відео зі зламу Прикарпаттяобленерго. При цьому чудово промовив це складене для англосаксонського язика слово. І потім також чітко повторив його ще кілька разів. Мабуть, довго тренувався, молодець.
Далі переказав про усім нам відомі факти з історії російсько-української кібервійни: атаки на об’єкти енергетики, про NotPetya, використання росіянами України як полігону для кібер-зброї та інше. І до багато чого у цій кібер-війні була причетна росіянська хакерська група Sandworm, про яку Енді написав книжку. Треба почитати, до речі, вона вже видана в Україні. Якщо хтось вже має – маякніть, будь ласка.

Далі Енді розказав та показав, з якими людьми зустрічався в Україні під час написання книги, у тому числі з Олеся Линник, керівником Linkos Group, яку ми більше знаємо як M.E.Doc (компанію тобто).

Цікавий факт: як NotPetya уразив компанію Maersk – всесвітнього гіганта з перевозок. І як вона втратила внаслідок атаки сотні мільйонів доларів (десь триста).
У їх єдиному українському офісі в Одесі був встановлений софт «Медок», але через нього було інфіковано усю світову інфраструктуру компанії. Також розказав цікаві факти як Maersk відновлювався після атаки NotPatya.

Запам’ятав дві цитати:
«Україна захоплювалася протягом тисячоліть: монголами, німцями, совєтами і зараз росіянами»
«Russia is Ukraine’s problem”

Майже ніякого тексту на слайдах, переважно фото, усе інше розказував голосом, швидко, але дуже чітко та зрозуміло. Професіонал вищого класу, шо сказати.
Коли Енді відповідав на питання «так хто ж винний у тих масштабних атаках» (Ереф звісно) – згадав мене і мій виступ на першому дні NNC-2020про невивчені уроки цієї кібервійни.

Вау.
Ні, не так: WOW !!! Капслок та три знаки оклику, все вірно.
Мене згадує сам Енді Грінберг! Треба з цього відео зробити якийсь коуб та нахабно вихвалятися у різних фейсбуках. «А чого досяг в житті ти?».
Ну правда, це дуже мені лестить. От прям сильно. I`m very proud to be mentioned by you, Andy Greenberg!

Звісно, в аудиторії до пана Грінберга було безліч питань про російсько-українську кібервійну. Звісно, він детально відповідав, і саме так, як ми усі це відчуваємо, але додавав цікаві факти. Наприклад, Енді інтерв’ював вищих американських кібер-посадовців адміністрацій Обами та Трампа і вони заявили, що дійсно мають кібер-зброю і хочуть мати можливості її застосувати і начебто зробили це у Сербії під час югославської війни на початку 90-х.
«Які Ви бачите кібер-загрози під час прийдешніх президентських виборів у США?» – «ГРУ, як завжди непередбачуване, але вони напевно займатимуться дезінформацією, хакерськими операціями, витоками інформації, кібератаками. Внутрішня політична ситуація в США дуже напружена: одна половина вважає іншу брехунами та злочинцями, саботажниками та дурнями».

Загалом під час онлайн-формату конференції була надзвичайно багато питань від аудиторії. Жодного разу не було ситуації, коли питань було одне-два або взагалі не було. Кожен спікер відповідав на питання ледь не 20-30 хвилин. Думаю, це саме через специфіку онлайн-спілкування: люди не стидаються і не бояться показатися недоречними, чи якось так. До того ж можна сформулювати своє питання під час виступу і одразу ж запостити у ТиТруба або у Зум.

Що ще можу сказати про конференцію?
Преміум-партнери конференції повинні були бути задоволені, адже їх логотипи були надзвичайно помітними, безпосередньо під клітинкою відео-виступу спікера і не дивитися на логотипи спонсорів було просто неможливо. Сам їх розглядав і підсвідомо вирішував чий більш помітний.
Досить часто організатори розказували про усіх інших спонсорів та партнерів. Це добре з урахуванням неможливості прямого спілкування з відвідувачами конференції на стендах та у залах.

Ще я здогадуюся наскільки важко було організаторам. Теоретично-то я розумію, але інсайдери кажуть шо було ващє капець як тяжко, тяжче, ніж у традиційному форматі. Але ми, прості слухачі другого дня, взагалі цього не помітили. Начебто все легко і просто, запускай собі наперед записані відео та щось говори на початку виступів та став питання після.

Такий ефект легкості досягається тяжкою працею великої команди. Я знаю, сам організував п’ять чи шість конференцій.
Дякую вам, Volodymyr Styran, Anastasiia Vixentael, Кирило Гобреняк, Сергій Короленко, Евгений Балютов, Вікторія Пащенко, Dmytro Diordiichuk, і ще багато дівчат та хлопців, яких я або не знаю або просто забув згадати. Ви – круті. Атвічайю. Тегніть, будь ласка, усіх причетних.

На фінальний сейшн мене не запросили, але здогадуюся, що він був, тому не можу нічого про це розказати.

Дуже сподіваюся, що наступний NNC пройде у більш “людяному” форматі, себто eye-to-eye, «вживу». Обов’яково подамся виступати, хоча ще не знаю про шо. Хоча, скоріш за все, до травня ніяких позитивних змін у національній кібербезпеці не відбудеться і я знов матиму багато смішного та сумного матеріалу для презентації. Якщо щось радикально-позитивно зміниться – також із задоволенням про це розкажу. Або то було правдою, ага. Хоча навряд. Хоча життя таке непередбачуваня. Давайте доживемо.

А NoNameCon бажаю довгого щасливого життя. Все правильно робите. Поважаю за пишаюся причетністю.

До нових зустрічей на наступних кібер-подіях.

Сподіваюся, цього року вони ще будуть.

Гарних вихідних.