Ekoparty 2019: quince años de esfuerzo e inventiva.

Tercer y último día de aprendizaje, abrazos, saludos, atentos silencios y ácidos comentarios entre los miembros de una tribu cosmopolita, ruidosa y querible.

Buenos Aires, 27 de setiembre de 2019

Puntuales y semidormidos, las y los integrantes del ecosistema descrito ahí arriba se juntaron a jugar al metegol y conversar bajo la enorme escalera, mientras elegían por donde empezar la diversión.

Por allá estaba el flaco con el brazo enyesado, que igual escribía en su laptop; al costado pasó el de pelo verde, rebotando a mil sobre su patineta; al solcito de primavera una rueda de chicas/admin, sentadas en el suelo, compartían observaciones de chambonadas de usuarios y algunos disfrutaban de las emuladoras de juegos retro.

Me agregué a los que subían, nos acomodamos en la sala que se fue llenando.
Mientras, se podía disfrutar de la música, country un rato, interminables magistrales riffs después.


Porque eso es lo que hacen, cuando no están silenciosos, concentrados, críticos, mirando a quienes presentan temas, quienes forjan el clima de la Eko.

La diversión de esta jornada final arrancó con Trashing like it’s 1999 - Unsolicited forensics on GPS trackers, a cargo de Matías Soler.
Lo de trash se justifica porque a Matías se le ocurrió trabajar con la información contenida en material abandonado, descartado, que (evidentemente) no parecía contener nada importante. Al menos, eso creía quien los desechó.
Se trataba, en este caso, de los equipos de geolocalización que se usan en los camiones, para informar el movimiento de la unidad y su carga.

Matías dio con ellos en un revendedor de objetos usados y de descarte, de la Provincia de Buenos Aires. Unos sesenta, que alguna empresa transportista probablemente había tirado a la basura, de los cuales compró dos, para una prueba inicial.
Se trataba de un modelo en caja cerrada, que contiene el módulo de posicionamiento, la sección de telecomunicaciones y una memoria. Luego de una prueba satisfactoria, Matías regresó al depósito, compró los que quedaban, y aunque en algunos casos había un borrado superficial, se pudo recuperar recorridos, tipo de carga, ubicación de los depósitos de la empresa base y de los clientes. Y cuando había contraseñas, no fueron difíciles de descifrar.

Sobre todo para quien, como Soler, trabaja en el equipo STORM de Intel, luego de un paso de nueve años por Immunity. Tirón de orejas para los diseñadores/fabricantes/vendedores de estos rastreadores GPS, que no proveen información precisa sobre cómo borrar eficientemente estos equipos antes de descartarlos. Y para los empresarios descuidados que los descartan de esa manera...

Satisfecha la platea, se hizo una rápida carga de café y se prepararon para la siguiente presentación: Joel Noguera traía Unveiling the underground world of Anti-Cheats.

Lo cual no sólo nos lleva a un mundo de juego vertiginoso, sino de muchos millones de dólares: lo que se invierte en el comercio (ilegal) de trampas para ganar en los juegos electrónicos de éxito masivo, y en el gasto (legal) que hacen las compañías de juegos electrónicos para detectar y neutralizar a los diseñadores o usuarios de trampas.

Para algún despistado de mi edad o cerca: esos cheats son programas que se cargan sólo en una máquina, la del tramposo, y modifican la conducta de un personaje: aumento de velocidad, obtención de armas, descubrimiento (indebido) de enemigos ocultos...

Ante el atento silencio de la concurrencia, Joel desplegó las estrategias empleadas por las empresas de anti-cheat para encontrar las trampas; cómo se descubre en medio de una competencia a un tramposo, revisando el reflejo de sus anteojos, donde se ve (miren la foto) que el jugador recibe información que está en su pantalla y no en la de otros; la estructura del mercado clandestino de programadores y vendedores de cheats y demostró en tiempo real cómo funciona un cheat en un juego.


Dejé por un rato la sala principal, e inicié una recorrida por los salones con actividades paralelas.

En la antesala encontré el lugar donde las dos psicólogas de DiG Encuentros entre Diversidad y Género, las licenciadas Daiana Vainstein y Paula Weitzman, se preparaban para recibir consultas y hacer una encuesta entre los/las asistentes. ¿El propósito de esta presencia? "...propiciar espacios más cuidados y pensados para todas las personas que participan en eventos". Eso está relacionado con los carteles que vi, en las paredes de todas las salas y algunos pasillos, donde se invitaba a llamar a un número telefónico si alguien se sentía inseguro o molestado por alguna actitud de otro asistente. Y eso, de paso, se vincula con el Código de Conducta que Ekoparty publicó en su website y que indicaba (resumo) que no se admitirían ni permitirían conductas ni expresiones, verbales y/o físicas, tendientes a afectar el trato digno que merece todo individuo que participe en la Eko. En el texto de la web se aclaraba que en caso de trasgresión podría haber orden de retirarse, o hasta denuncia a autoridad judicial, según lo que sucediera.

Muy contento con la iniciativa, seguí mirando stands hasta llegar al de Sysarmy, el soporte de quienes dan soporte, que seguían invitando a solucionar los problemas de desconexión de Las Toninas, y (de paso) colocar alguna que otra remera. Los Antivirus eran gratis.

En el fondo de la sala estaban desesperados por resolver las incógnitas del Capture The Flag; recordé que a las 15 era el cierre y los dejé en paz por ahora, bajé las escaleras, llegué al patio y me sorprendió un grito de ¡córner! mientras un robot futbolero le quitaba la pelota a otro (se manejaban desde los celulares)

y pasé al área de los stands de los sponsors. En la mesa de recuerdos de la Eko (el merchandáisin, que le dicen) había hasta remeras para Hijo de Hacker

y alguien sentado a un costado de la máquina de café aporreaba su portátil luciendo un mensaje sofista.

Desde afuera llegaba el mensaje amplificado del Canguro Informador, que avisaba sobre el comienzo de un certamen libre de Counter Strike en el stand del Museo de la Informática,

y me apuré para ver cómo se las arreglaban los/as sufridos/as participantes, que según me pareció, la estaban pasando bomba.

Pero ya era hora de una reunión donde se hablaría de malware para Mac. Elegí el ascensor, pero hmmm... me pareció que esa letra C en espejo que muestra el indicador de piso me sugería usar la escalera.

Además, la cabina estaba en Planta Baja
y marcaba Primer Piso.

Curioso, pero (de acuerdo a la observación que me hizo alguien de seguridad cuando lo consulté)

"...ay, estos chicos..."
.
No more comments.

Al lado de la Sala Principal (lo de la Mac), estaban presentando OpenBSD una workstation segura, a cargo de Matías Sardisco y Anatoli Lushev. Ah, el problema de las conferencias con tracks simultáneos...
No pude verla, pero según me comentaron, tuvo mucho éxito aunque no se pudo completar la instalación porque la explicación introductoria sobre BSD, que era excelente, llevó más tiempo del calculado.

¿Ven la ventaja del ekosistema? Te encontrás en cualquier pasillo alguien que no te conoce, pero si estás interesado en un tema que él presenció, te da su tiempo para una explicación, birra por medio.

Volvamos al tema Mac. Prolijamente me acomodé a escuchar a Patrick Wardle, que presentó Harnessing Weapons of Mac Destruction.
Era su segunda presentación de esta Eko, lo encontrás en la nota referida al día 2 "Synthetically breaking macOS".

Esta vez Patrick presentó una idea interesante: reutilizar malware ya existente, que haya tenido una actividad exitosa, modificándolo de tal manera que sirva para otro propósito, escape a la detección y sobrepase las protecciones que pudiesen estar presentes en la máquina atacada.

El concepto de reutilizar una herramienta existente tiene un costado interesante: en el caso del malware preparado (por ejemplo) por técnicos de un Estado, para ciber-agredir a otro, el presupuesto con el que contaron esos programadores ha sido mucho mayor que el que puede invertir un agresor independiente.
Además, las medidas de detección y protección que identifican y neutralizan a ese viejo malware pueden ser estudiadas, de tal manera que se modifique el nuevo código para que no sea reconocido.
Y como es un malware reconocible, culparán a otro por el desastre producido...

Y por supuesto, dio ejemplos reales de malware exitosamente "reacondicionado", detallando prolijamente los puntos débiles del macOS y de algunos programas comerciales de protección.

Llegó el almuerzo, que dediqué, además, a repasar la EKO MAGAZINE con calma.

Esta revista, que en formato impreso tiene 36 páginas más las tapas, está llena de recuerdos de testigos presenciales de los años fundadores de lo que Ekoparty declara ser, una plataforma regional con una clara función social: encontrarnos, conectarnos, enseñar y aprender de quienes están investigando y desarrollando la industria.
Muy recomendable.

Se puede descargar en formato PDF pero la de papel, para un tipógrafo como yo, tiene otro olorcito...

Guardé la revista, y subí al trote, para llegar a la siguiente presentación: Backdooring Hardware Devices by Injecting Malicious Payloads on Microcontrollers, a cargo de Sheila A. Berta, la excelente programadora que diseñó (por ejemplo) el software que cargado en la barriga de un pequeño dron, puede inspeccionar un edificio comercial de varios pisos levantando información de las redes wifi de cada empresa alojada allí, tal como mostró en el tercer día de la Eko de 2015.

Esta vez se dedicó a estudiar (exitosamente) cómo usar un microcontrolador para alterar el comportamiento de una de sus víctimas favoritas: el CAN bus de un automóvil. Luego de hacer un repaso de diferencias estructurales y operativas entre microprocesador y microcontrolador, mostró cómo se programa un microcontrolador (procedimientos, herramientas de software, kits), y la forma de modificar un programa sin que se altere el checksum, por lo cual debería correr de maravilla aun con dados cambiados. Finalmente, ya que de autos se trata, explicó cómo se puede actuar sobre un modelo donde haya un motor que funcione con nafta y con gas. Donde, claro, si está funcionando con nafta, no se permite el paso de gas. Pero... también (mostró Sheila) se podría hacer que pasen gas Y nafta. AL MISMO TIEMPO. Con las ruidosas consecuencias del caso.

Faltaba poco para terminar la presentación, por lo cual no se si Sheila mencionó su excelente uC Payload Injector (UCPI), pero era ya la hora del final del CTF, así que pasé al salón correspondiente.

El equipo de organizadores del Capture The Flag es muy puntual, así que llegué justo a tiempo para felicitar al equipo ganador, CERTUNLP. Por supuesto, lo de UNLP es por la Universidad Nacional de La Plata, igual que en la Eko del año pasado.

Los integrantes del equipo de este año fueron Federico Carrilao, Damián Rubio, Facundo Basso, Jeremías Pretto, Cristian Barbaro, Nicolás Macia y Alejandro Sabolansky. Más estos tres, que participaron remotos (parece): Paula Venosa, Einar Lanfranco y Mateo Durante.
Y aunque no todos son miembros del CERT de la UNLP (algunos son alumnos) este equipo parece bien afilado, ya que viene de ganar el 5to. puesto en la International CyberEx 2019, organizada en septiembre por el Instituto Nacional de Ciberseguridad y el Centro Nacional de Protección de Infraestructuras Críticas, de España, y la OEA, en donde compitieron 80 equipos de 24 países.

Todavía estaban en la sala, aunque no tan contentos, los que lograron el segundo puesto esta vez:
el team amn3s1a, con integrantes de Perú.

Como después de 48 horas de teclear y exprimirse el cerebro era razonable dejar descansar a los participantes, bajé otra vez al patio, donde Federico Kirschbaum, uno de los cinco organizadores fundadores de Ekoparty (así se autodenominan acá) LINK https://www.ekoparty.org/acerca-ekoparty.php frenó por unos minutos su constante ir y venir por la Eko para dejar un excelente compendio de su visión de estos tres días, del pasado y el futuro.

El resumen, por fede_k

1) conferencias destacables:
* la de Matías Soler (forensics in GPS). La idea de encontrarse accidentalmente con dispositivos, y la curiosidad para entender toda una clase de divulgacion de informacion; creo que habla muy bien de la esencia de lo que hacemos.
*la de Joel Noguera (anti cheats). Es una ventana a todo un universo que está pasando, no hay un generalismo en seguridad sino una especificidad. Además tiene que empezar a existir seguridad en juego, porque es una industria, es un negocio, y no hay tantas charlas sobre eso. Me parece muy bueno que se empiece a hablar de seguridad en la industria de los juegos, de doping digital (porque en un contexto competitivo, que te mejore un 3% la puntería es como un doping, pero digital).
* si bien hubo muy buenas charlas, yo le tengo mucha fe a la de Ryan Spears (20 devices in 45 seconds), creo que va a estar muy divertido mostrar como encontró muchas de esas fallas.

2) el wardriving de este año
* tiene un diferencial: podemos poner más en contexto toda la información recolectada durante este año y los años pasados para hacer un estudio de diez años sobre cómo evolucionó la seguridad wifi y la dotación IoT en Buenos Aires. Porque sabemos qué dispositivos son, si es una computadora, si es un celular, si es un router, si es un aire acondicionado que está conectado al wifi; el tipo de seguridad que tienen, si no tiene seguridad, si es WPA, WPA2, WEP, no sólo del 2019; puedo mirar de acá al 2009, cómo y dónde se adoptó wifi, y cómo los proveedores implementaron la seguridad. Es una cuestión de maduración, y de empezar a tomar acción sobre las cosas que hacemos; que por más que nos diviertan, tienen un valor y pueden ser para cambiar un poco

3) ekodating
* Tenemos la siguiente creencia: acá sobra talento y lo que faltan son oportunidades. Y muchas veces creo que en esta industria se dice que es muy difícil conseguir o contratar gente, pero en ekodating se prueba todo lo contrario; la gente hacía cola para hablar con diferentes empresas, para ver qué oportunidades tenían las empresas para ellos; mucha gente con ganas de entrar a esta industria, mucha gente intentando entender qué hacen ciertas empresas, y creo que es eso, es una buena llamada de atención para entender que hay que abrir y construir más puentes, porque el talento está; y los sponsors lo que vienen a buscar es eso. Con el ekodating entrevistaron un sinnúmero de gente en muy poco tiempo, y espero que haya muchas contrataciones efectivas después de la Eko.

4) ekokids
* Cambia mucho la dinámica cuando tu padre te puede traer a un lugar así y podés compartir la pasión. Yo creo que no es para que los chicos aprendan robótica, sino porque los padres quieren compartir algo y a veces no saben cómo; que vengan y haya profesionales que guíen; eso es lo más importante.

5) el universo de la Eko
* En lo personal estoy sorprendido por la cantidad de gente nueva que vino a la Eko. Yo dije "¿quién es la primera vez que viene a la Eko?" y el 60% del auditorio levantó la mano, lo que me confirma que hay talento, capaz no se ve, pero hay; me cuesta creer que esta es la primera Eko para mucha gente. Es algo que damos por hecho, de que existe una Eko, pero hay mucha gente le esta pasando esto de descubrir que existe este universo, y se lo ve en las caras y en la vibra, y me encanta.

Wardriving

Ekodating

Ekokids

Saludé a Fede y salí al trote para llegar a la conferencia siguiente: Modern Secure Boot Attacks: Bypassing Hardware Root of Trust from Software donde regresaba al escenario Alex Matrosov, que había disertado el día anterior (así que ya expuse sus pergaminos).

Esta vez Matrosov mostró las debilidades de dos métodos elegidos por los fabricantes de computadoras para evitar la explotación de vulnerabilidades: grabar programas en harware, como ROM, o en firmware, en la BIOS. En ambos casos hay problemas.

Luego detalló la clasificación de vulnerabilidades de la UEFI, fallas en Boot Guard, el Embedded Controller, el problema de las actualizaciones que dicen deshabilitar opciones, pero no lo hacen, y terminó con un excelente resumen:
a) la usabilidad, en el mundo corporativo, es el principal enemigo de la seguridad;
b) diferentes fabricantes entienden la opción "deshabilitar permanentemente" de manera diferente;
c) cuando la raíz de confianza (Root of Trust) basada en hardware transfiere el estado de la cadena de confianza al software, esa raíz "confiable" deja de ser hardware.

Una pausa para cargar café, regreso y un amigo de la casa, Andrés Riancho, presentó Internet-Scale analysis of AWS Cognito Security.
Se trató de un caso real, parte de una investigación realizada para un cliente. Que tenía que utilizar la nube de Amazon.
Riancho analizó Cognito, que según dicen acá los muchachos de AWS es un "servicio que se puede utilizar para crear identidades únicas para los usuarios, autenticarlas con proveedores de autenticación y guardar datos de usuario de aplicaciones móviles en la nube..."

Hmmm. "servicio" "crear identidades" "autenticarlas" "guardar datos de usuario" "nube" ... ¿qué podría salir mal?

Según Riancho, cuando quiso verificar la seguridad del sistema de identificación y autenticación de usuarios, encontró fallas, que investigó por medio de sistemas de búsqueda dentro de Internet.
Como el sistema configura grupos de usuarios y grupos de identidades, estudiando fallas encontró en Internet 2500 grupos de identidades, y pudo localizar (con un poco de brute force...) 13.000 identificadores de usuarios.

Invirtió bastante tiempo y algunos dólares, ya que una de las herramientas de búsqueda era un servicio comercial y debió analizar miles de APK de Google Play Store, decompilarlas y extraer los identificadores.
La presentación detalló errores de configuración y de concepto que (dijo) fueron comunicados a AWS.

Tal como me había pasado más temprano, me perdí lo que mostraron en la sala de al lado (auditorio): Alan Levy y Matias Perez, que durante su RF: Hackemate hackearon el control remoto de una máquina de humo, que soplaba el idem cada vez que un espectador enviaba un SMS especial. Como se divierten estos muchachos...

Llegó la hora de una charla esperada con curiosidad: Free rides! SUBE, REDBUS, SATBUS and others, a cargo de Dan Borgogno.

El tema, entonces, eran las tarjetas de viaje en transporte público.
Aunque comparten la metodología de diálogo con la unidad fija en el vehículo, en la parte de radiofrecuencia, existen diferentes tipos de implementaciones para la actualización de los saldos, luego de una carga o un débito por viaje.

Borgogno hizo un repaso de cada método de modificación de saldo, que en los modelos más antiguos no estaba referido a un servidor central, y guardaba las claves de modificación, grabadas en cada tarjeta.
Mostró los lectores de tarjetas que pueden interactuar con diferentes tarjetas y cómo pueden leerse las celdas de datos que contienen.

Durante un cambio público de modelo de tarjetas, en su Córdoba natal, tuvo la oportunidad de adquirir una tarjeta "vieja" en el momento de la aparición de las nuevas, y encontró que las nuevas tenían grabadas las claves de las anteriores, por lo cual pudo trabajar en las nuevas.
Pero la platea quería saber qué pasaba con los actuales modelos. Ya en una Ekoparty anterior se hizo una demostración de carga en una tarjeta tipo SUBE modelo "viejo".
Luego (explicó) con los actuales modelos las empresas han mejorado el sistema de actualización de saldos.
Aunque la lectura de las celdas de datos sigue siendo posible, y existe una app para celular que lo convierte en cargador remoto, la sincronización de las claves con servidores centrales podría dejar al descubierto un "retoque" y la empresa podría hacer una cancelación remota.
Además, está la relación costo/beneficio...

Eso sí: a la noche, cuando le dieron el Premio A La Mejor Presentación, y el público le preguntó si él había pagado su viaje de ese día, contestó: "me reservo el derecho de no responder."

Y llegó la última presentación de la tarde: 20 devices in 45 seconds: Automated Bug Hunting in IoT Devices que figuraba a cargo de Ryan Speers y Sophia d’Antoine, pero Sofía no viajó.
Así que Ryan arrancó con una explicación en pasos, definió los componentes en riesgo (hardware, firmware, servidores y bases de datos de producción), señaló los elementos de la cadena de producción de un dispositivo IoT, hizo una lista de los posibles riesgos; revisó el concepto de aplicar técnicas de la "computación tradicional" a la inspección de firmware embebido, teniendo como objetivos: dejar que las computadoras encontraran la mayor cantidad de problemas, dejar que los expertos buscaran en los problemas mayores, identificar problemas antes de que causen daño.

Pero como había mostrado la cantidad de dispositivos IoT que se supone conectados a Internet en un par de años, quince mil millones, y la necesidad de poder inspeccionarlos de una manera eficiente, mencionó la necesidad de acelerar este proceso. Señaló que se puede hacer análisis de inseguridad de dispositivos que estén conectados a una red, desde la misma red, pero con limitaciones; también indicó los procedimientos de inspección física en taller, y dio ejemplos de identificación automatizada de defectos en hardware (20 de ellos, entre routers wifi y cámaras de vigilancia) donde se analizó el código del firmware buscando fallas conocidas, o contraseñas harcodeadas, mediante fuzzing o emulación.

En cuanto al título de esta presentación, en un momento Speers había mencionado una charla ya histórica, "Hackee todas las cosas - 20 dispositivos en 45 minutos" que días más tarde encontré en el archivo de Defcon 22 donde se explica cómo modificar características de funcionamiento de 20 dispositivos, entre cámaras IP, televisores, monitores de bebés, equipos de automatización de hogares, receptores de video, gateways de telefonía IP.

Satisfechos todos con lo visto, aplaudimos y nos preparamos para el cierre de esta Eko.el cierre de esta Eko.
Hubo video con imágenes de unos adolescentes rodeando históricas desktop (cómo no iban a poner un video en un cumple de 15...), y el staff depositó en el escenario cinco grandes cajas de cartón, cada una con el nic escrito, con los regalos para los cinco ekofundadores: Leonardo Pigñer, Juan Pablo Daniel Borgna, Federico Kirschbaum, Jerónimo Basaldúa, Francisco Amato. Eran unos enternecedores y vaporosos vestidos de princesita, y había una diadema para cada una. Perdón, para cada uno.

Brindaron, hablaron por turno, Francisco Amato sacó una selfie grupal y se juntaron todos los voluntarios y demás miembros del staff

y después de las fotos, iniciaron la entrega de premios homenajeando la trayectoria y el trabajo de César Cerrudo, Iván Arce, Ricardo Narvaja, Gerardo Richarte, Nicolás Economou y Nico Waisman; luego llegaron los premios a stands, con revoleo de remeras, y a la mejor presentación, y a los triunfadores en competencias...

Pensamientos a la hora de irse

Desde 2008 puntualmente paso por la Eko y hago un informe. Que termino con observaciones. Esta vez las fui dejando por el camino, junto a las descripciones de actividades o presentaciones; para resumen, me quedo con el del fede_k.
Y con las frases de admiración de los primerizos, los abrazos entre los habitués, y algunas miradas cómplices de los conocedores, cada vez que un sistema operativo o un ejemplar modelo de la capa ocho eran maltratados por un sonriente experto, de esos que tienen café en las venas.

Entre los muchos pensamientos que me mordisquean los talones, mientras bajo las escaleras, hacia la salida, por última vez este año, me pregunto si habrá sido una absoluta casualidad que Apple publicase esa semana, entre jueves y viernes, 25 parches que protegen versiones actuales y anteriores del sistema operativo de teléfonos, laptop y hasta el apple watch... (Justo en los dos días en que Patrick Wardle presentó en la Eko...)

En fin, tal vez sea hilar demasiado fino. Es cierto que Wardle ha publicado cosas parecidas en DefCon de este año. Pero que las hay, las hay.

La muchachada se preparaba para el fiestón final, hasta que las mother(board...) no ardan. Sigo lamentando la cantidad de talleres y charlas que no pude presenciar.
Me quedé recordando la frase que vi en la Eko Magazine, la que describe la intención de esta reunión multitudinaria, donde el conocimiento es lo único que otorga jerarquía.
Donde esas hermosas patitas del método científico: el juicio de los pares, la publicación de la experiencia, están en cada sala.

Y pensé en algo que leí esa misma tarde en el tuíter: ¿falta mucho para la próxima eko?

REGRESAR AL PRIMER DÍA DE ESTA EKO

REGRESAR AL ÍNDICE DE VISITAS A EKOPARTY