BruCON 0x0B

BruCON 0x0B! Jawel, 10 en 11 oktober was de 11e editie van BruCON (0x0B is de hexadecimale waarde voor 11). Dit was mijn eerste keer op BruCON en ik moet toegeven dat het een hele mooie ervaring was. BruCON 0x0B was de 8e editie in Gent. De eerste 3 BruCON events waren uiteraard in Brussel. BruCON wordt gehouden in de aula (en conference rooms) van de prachtige universiteit van Gent. Het gebouw zelf is indrukwekkend met hoge gewelven en immens grote deuren. De aula is opgezet als meeting place waar koffie, frisdrank bier en eten te verkrijgen is. BruCON is incl. koffie, ontbijt en lunch en tussendoor zijn heerlijke versnaperingen te verkrijgen zoals koeken, cake en chocola. Security, bier en chocolade… dat is toch België op zijn best!

Het programma van BruCON kent veel overlap. Het is onmogelijk om alles te doen. Je moet kiezen tussen het volgen van talks, rondlopen in de village (IoT) of het deelnemen aan workshops. De village is vrij te betreden en de gehele dag geopend. Prima dus om wat verloren tijd te besteden. Op de eerste verdieping van de aula was echter nog een mooie manier om “in-between-time” te besteden, namelijk retro gaming. Nintendo, Sega, Xbox, Playstation. Alle merken waren vertegenwoordigd. De meeste talks worden gehouden in de conference room van de universiteit. De workshops zijn vrijwel allemaal in conference rooms van het Novotel hotel op 4 minuten loopafstand. Vervolgens is er ook een student CTF in het Monasterium PoortAckere hotel. Een ander opvallende actie is de Hackers Run op de tweede dag van BruCON waar de sportieve hackers in de vroege ochtend op de 2e BruCON dag 10 kilometer gaan hardlopen. Respect! Zeker als je weet dat op de avond van de eerste dag er een hackersfeest is waar het bier rijkelijk vloeit (en natuurlijk ook de Club Mate… welke naar mijn persoonlijke mening niet te zuipen is… maar … de cafeïnewaarde is goed om overeind te blijven).

Bij binnenkomst wordt er dit jaar voor het eerst een elektronische badge à la Def-Con uitgereikt. Geen saai kaartje om te zien dat je in-en-uit de conferentie mag lopen maar een hele gave microcontroller met display. Ook dit is de tweede keer dat BruCON een elektronische badge uitdeelt en wederom is het een mooi stukje vakwerk. De badge is verbonden met het WiFi en voorzien van actuele informatie over het programma almede een plattegrond. Als we gaan kijken naar de componenten van de badge dan zijn dit o.a.:

• Custom PCB
• WiFi & Bluetooth module – Espressif – ESP32-WROOM-32D – 4MB Flash – PCB antenna (4053199925568)
• USB naar UART USB 2,0 UART Interface – Silicon Labs CP2102N A01-GE5
• Accu – EasyLander EL- 803460 – 3.7 V – 1650mAh

Let vooral ook op het BruCON logo op de achterkant en de zin “Een C0n met l1efd3 gebrouwen drink je met ver5tand” op de voorkant.

Na de inschrijving was het tijd voor mijn persoonlijke hoogtepunt, de keynote van Rob Fuller Ofwel @Mubix (Hak5). Zijn presentatie “Why isn’t infosec working? Did you turn it off and back on again?I” opende meteen mijn ogen en ik denk de ogen van vele andere security professionals in de zaal. We houden teveel vast aan “oude gewoontes”, we zijn niet verantwoordelijk genoeg om sommige werkzaamheden te zien als “onze taak” en misschien moeten sommige zaken gewoon door ons geaccepteerd worden want de business heeft meer belangen dan het onze. Dat was een goede lezing.

Vervolgens hebben we de lezingen bijgewoond van Altaf Shaik / Ravishankar Borgaonkar en Martin Schmiedecker over “Security transition from 4G to 5G: are we secure enough?” en “A hackers view to the upcoming ISO/SAE 21434″. Dit waren voor mij persoonlijk meteen de 2 dieptepunten van deze dagen. De eerste deden erg hun best en de informatie was interessant maar helaas was het Engels dat ze spraken onderhevig aan een sterk Indisch dialect waardoor het geheel niet zo goed verstaanbaar was. De tweede was beter te verstaan maar aardig monotoon en voor mij persoonlijk was de informatie wat minder relevant. Wat echter opviel is hoe sterk de autobranche, een branche waarin ik niet bekend ben achterloopt op andere branches als het gaat over gedegen regelgeving omtrent beveiliging en de garantie op security patches terwijl auto’s wel degelijk beschikken over veel digitale technieken en bij foute implementatie levens kunnen eisen.

In de middag de workshop “Active Directory security: 8 (very) low hanging fruits and how to smash those attack paths” gevolgd van Remi Escourrou en Nicolas Daubresse die achteraf een stuk interessanter was dan verwacht. Maar Jarno, waarom ga je er dan naartoe? Simpelweg omdat er geen plek meer was bij de andere workshops 🙂 Ik had mezelf vooraf kunnen registreren voor de workshops maar omdat er boven de agenda de tekst “” bleef staan was ik in de veronderstelling dat het inschrijven nog niet mogelijk was. Achteraf gezien had ik al eerder kunnen inloggen en registreren. My bad… nu moest ik dus bij de workshops gaan bedelen voor een plekje en deze workshop had niet mijn eerste keuze. De overige workshops van dag 2 overigens wel. Maar deze workshop liet goed zien hoe lateral movement en privilege escalation in zijn werk ging en hoe met behulp van diverse tools op een vrij gemakkelijke methode vaak vrij snel administrator toegang op een netwerk verkregen kan worden. Uiteraard werden daarbij ook de technieken getoond om jezelf te wapenen tegen deze methodes.

Als laatste talk van de dag bij “Automated adversary emulation using Caldera” van “Erik Van Buggenhout” geweest. Een product wat voor mij volledig onbekend was en toegegeven de demogoden waren niet altijd goed gezind. Caldera is ook nog geen oud product en zelfs nog niet volledig gereleased. Caldera toetst het netwerk op gebruikersvectoren i.p.v. bekende signatures en vulnerabilities. Caldera is volledig modificeerbaar waardoor ook eigen plugins geschreven kunnen worden en dus specifieke handelingen getest kunnen worden. Geen gewone vulnerability scanner dus en zeker eentje om op de radar te houden.

Dat was het voor dag 1. Zoals al gezegd was er ‘s avonds nog een feest maar na het inchecken in het hotel en een heerlijke spare-rib te hebben gegeten vonden mijn collega en ik een mooie bruine Belgische kroeg die ons toch een stuk gezelliger leek dan het feest.

De tweede dag begonnen met een prima ontbijt van chocolade croissant en koffiekoeken (vooruit ook nog een banaan). Daarna snel verder naar mijn eerste workshop waar ik heel veel zin in had! “Digital Forensic Investigations with Tsurugi Linux” van Giovanni Rattaro en Marco Giorgi. Giovanni had me via Twitter al een plaats in de zaal beloofd dus aan deze workshop kon ik sowieso deelnemen. Whow, deze workshop bevestigde mijn gevoel welke ik al onderstreepte in een eerder artikel van Tsurugi. Wat is Tsurugi toch een prachtig pakket. De workshop werdt ondersteund d.m.v. goede voorbeelden en leuke cases welke aantonen tot welke zaken Tsurugi in staat is. Helaas was de tijd te kort en was het meer een demo dan een workshop. Maar absoluut genoten van deze sessie.

Na de lunch, welke op zich beide dagen een beetje tegenviel (geen vette hap… maar gewoon gezonde zaken zoals salades en pasta) door naar de tweede workshop, “Wavestone ICS pentesting workshop” van Arnaud Soullié en Antoine Guillot. ICS is voor mij nog relatief onbekend en ook deze workshop gaf me nieuwe inzichten en ideeën. Daarom was hij al erg leuk! Als kers op de taart was de eindopdracht om een PLC of Scada systeem te hacken zodat je een robotarm kon besturen waarmee je een vlaggetje van een rijdend treintje moest stoten. Briljant. Helaas wilde mijn VM niet meer booten maar binnen 20 minuten was het door de andere aanwezige (met goed teamwork) wel gelukt om het vlaggetje eraf te tikken. Ook hier telt dat teamwork dus wel degelijk een grote meerwaarde heeft.

Tenslotte nog een stukje gehoord van de talk “Tales from professional thieves” van Dan McInerney en Justin Wynn maar toen was het hoge tijd om weer huiswaarts te gaan. 2 van dit soort dagen gaan zo ontzettend snel voorbij. Ik was echt geïnspireerd door alles wat ik gezien en gehoord heb en de contacten die gemaakt zijn. BruCON is een fantastisch mooie conferentie en er mag gerust een dikke shout-out gegeven worden naar de organisatoren! Fantastisch!! De talks, workshops en alles erom heen was zeer goed geregeld en ik hoop dat de bezoekersaantallen alleen maar toenemen want deze conferentie verdient dat helemaal! De volgende keer nog even wat frietjes bij de lunch en de inschrijvingen voor de workshops duidelijker communiceren en dan hoor je mij helemaal niet meer klagen 🙂 BruCON… graag tot volgend jaar. Het was fantastisch!

Owja… en natuurlijk was het presentatiebord in de main hall de 2e ochtend ook gehackt …. duhhh:

Nog wat random impressiefoto’s: