Dit Nederlands hackerskamp vindt (sinds 1989) elke vier jaar onder een andere naam plaats. Er waren dit jaar meer dan 3200 verkochte tickets, 250 presentaties in 4 dagen over cybersecurity, privacy, reverse engineering, lock picking en meer. Een short cut naar onze bevindingen uit sessies: internet als het beste en slechtste; een algoritme via een aardappel; je nachtmerrie blue team; cyberfront Oekraïne; en de pandemie in een plot van een verhaal.
Gehackt slaapritme
Door lockdowns en thuiswerken keken we des te meer uit naar het event van dit jaar om real life sessies bij te wonen en van het kamp annex festival te genieten. Op dag -1 de koepeltentjes opgezet en dat ook gedaan voor de village van True, voor de gelegenheid omgedoopt tot village:False. Er was bier, een goede barbecue met grillmasters van True, (keynote) talks, workshops (waaronder ballonnen vouwen voor volwassenen), veel zon, en een false flag bij onze village. Sommige Trueligans deden het met 3 uur slaap per nacht … Waardoor we wellicht niet meer alles van de sessies van dag 5 weten. Gelukkig zijn ze terug te kijken door de opnames van een fantastisch AV-team van MCH2022.
Daarmee is MCH2022 niet over: de eerste 3500 verkochte tickets waren inclusief (naam)badge. Al bevat deze badge meer processing power dan supercomputers uit de jaren ’80! Meerdere processoren, 16mb opslag, 8 mb PSRAM, usb-c connector, micro SD card slot, een app store (hatchery), lichtjes en speakers. Niet vreemd dat we ook de jongste bezoekers van MCH2022 ermee zagen computeren.
De kracht van verzamelde kennis en expertise
De kracht van MCH2022 zit voor ons in de verzameling van kennis en expertise, nieuwsgierigheid en informatie delen. Dat zat in real life gesprekken, workshops hacking, testing en lock picking, en samen op een gemoedelijk terrein kamperen. En in sessies waarvan we een aantal voor je uitlichten.
Het internet is het beste en het slechtste dat ons is overkomen
Internet is het beste én het slechtste dat ons is overkomen, gaf security researcher Mikko Hypponen in de keynote talk mee. Het is mogelijk om ineens wereldwijd gelijken te vinden, in hobbies, maar ook in criminele activiteiten. Het internet is een innovatie die we niet meer ongedaan kunnen maken. We kunnen alleen nog restricties opleggen om illegaal gebruik in te perken.
Dat is belangrijk om in het achterhoofd te houden voor de toekomst van het internet. Het is lastig om het internet over 4 jaar te voorspellen, gaf Mikko aan. Maar het internet over 20 jaar is makkelijker; daarvoor hoeven we alleen maar naar het verleden te kijken. Mikko verwacht een internet dat vrijwel niets kost en over betere en snellere processingkracht, opslag en bandbreedte zal beschikken.
Dat grenzeloze heeft een keerzijde: het internet wordt een vereiste voor de maatschappij. Net als elektriciteit dat nu is. Onze voorouders hebben elektriciteit geaccepteerd en in onze tijd vallen er doden als elektriciteit een week uitvalt. Mikko geeft aan dat wij onbewust de keuze voor internet maken, en dat onze kindskinderen er niet meer zonder kunnen. Daar moeten we ons we bewust van zijn.
Het grenzeloze zorgt ook voor een enorme toename aan complexiteit van het internet, een grote vijand van security. Meer code is meer ruimte voor bugs en kwetsbaarheden, waar cybercriminelen op af gaan. Zij organiseren zich inmiddels ook steeds meer als legale organisaties, met managers en salarissen, en kunnen in die zin unicorns of the dark web worden.
Wordt het dan alleen maar erger? Dat is te zwart, zegt Mikko. Immers, security en al de expertise daar omheen is zoveel beter dan 10 jaar geleden. Alleen krijgt dit veel minder de aandacht. Als security teams erin slagen om een aanval af te weren, zal vrijwel niemand dat weten. Als ze falen, weten veel meer mensen dat.
Een algoritme via een aardappel
Een toekomst met grenzeloos internet heeft echter wel veel meer elektriciteit en data-transfer nodig. Er zijn andere methodes in ontwikkeling, waaronder de combinatie van analoge machine learning, edge computing en hernieuwbare energie. Uit aardappelen. Armand Sol gaf in een sessie de research mee van analoge computertechnologie en edge computing voor machine learning oplossingen die grote impact kunnen hebben. Aardappeltelers kunnen in eigen grond uit aardappelen energie opwekken, data uit sensoren ter plekke houden en deze met machine learning op een analoge computer verwerken. Geen grote datastromen meer van en naar de cloud. De kosten verminderen aanzienlijk en de methode verhoogt de privacy van de aardappelteler.
Hoe je langs je nachtmerrie blue team kunt komen
Voor online veiligheid werken zowel red teams als blue teams eraan, alleen beide net op een andere manier: het red team is de aanvaller (op een legale manier) en het blue team is de verdediger. Wat kun je als red team doen om een phishing aanval te laten slagen en het langs een perfect opererend en alwetend blue team te krijgen? Wout Debaenst, senior Red Team Operator at NVISO, gaf in deze talk een stappenplan met tools, tips en tricks waarmee beide teams elkaar continu een stap voor kunnen zijn.
Voor een phishing aanval is nodig:
- een fake domein. Via tools kan het blue team verdachte domeinen (met bijvoorbeeld een typo in de bedrijfsnaam) opsporen en ze blokkeren. En via tools als censys.io is met een wildcard search ook te zoeken naar domeinen met de bedrijfsnaam als subdomein.
- hosting van de code. Met tools is te vinden waar aanvallers servers en html-templates hebben hergebruikt. En via urlscan.io zijn hashes van hergebruikte afbeeldingen te vinden, om te spotten of ze van een verdachte bron komen.
- reputatie van de domeinnaam. Een domeinnaam die net is geregistreerd of een lage domein reputatie heeft is verdacht!
- endpoint hardening. Zorgen dat programma’s als word of excel geen files in de verkenner mogen uitvoeren en macros gesigneerd moeten zijn.
De terechte vraag aan het einde van de sessie was: als je dit aan red en blue teamers leert, leren criminelen dan niet mee? Wout hoopt hiermee meer good guys het te leren dan criminelen, zodat blue teams aanvallers voor kunnen blijven zijn. De sessie kijk je hier terug >
Vanaf het cyberfront Oekraïne
Nog amper bijgekomen van de coronapandemie is de volgende crisis uitgebroken met de oorlog in Oekraïne. Ook het cyberfront wordt daarbij actief gebruikt, door beide partijen. Op de dag dat Rusland 5 maanden en 1 dag geleden Oekraïne inviel, vertelde Anastasiia Voitova, security software engineer bij Cossack Labs, via een live-verbinding wat er in haar leven gebeurde tijdens de inval en welke cyberaanvallen er in de afgelopen jaren zijn geweest. Cyberaanvallen die kritische infrastructuur, zoals elektriciteit maar ook systemen van de grenspolitie aanvielen, waardoor er rijen van vluchtelingen bij de grens ontstonden.
De pandemie in een plot van een verhaal, of, waarom mensen buiten de hacking wereld denken dat je met één druk op de knop een computer kunt hacken
Daarmee vergeet de maatschappij wel een deel van haar collectief geheugen, gaf auteur en privacy activist Klaudia Zotzmann-Koch aan. Hetzelfde geldt voor hacking, dat zit op een andere manier in het collectief geheugen dan dat het in werkelijkheid is. In boeken, films en televisie-series wordt dat weergegeven als met één druk op de knop een computer binnenkomen. Of met één regel (html)-code een compleet systeem platleggen. Daardoor denken politici dat hacken makkelijk is, simpelweg omdat dat zo in verhalen naar voren komt.
Hoe schrijven auteurs verhalen als het leven zelf al zo vreemd is? Eerder waren het de verhalen die dystopisch waren, die topics aankaarten waar de maatschappij van kon leren. Verhalen geven de wereld vorm, geven aan wat belangrijke topics zijn. Maar nu is dat dystopische het leven geworden. En geen uitgever die de pandemie – inclusief het dragen van mondkapjes en dagelijkse zelftesten – in een boek, film of serie wil hebben.
Ons volgende favoriete moment
Het volgende hackerskamp vindt in 2025 plaats. Dan zijn Trueligans er waarschijnlijk ook 😉
