Harmadik napunkat töltjük a 27. Chaos Communication Congress-en, Berlinben, a poszokat hiányolók kedvéért most következzen egy szedett-vetett beszámoló az eddigi eseményekről:

A konferencia előadáskínálata még a tavalyinál is erősebb, a prezentációk pedig remekül kiegészítik egymást. Az ilyen előadás-csoportok közül a legjelentősebb talán a GSM-hackelés, amely már múlt évben is komoly figyelmet kapott. Míg azonban 2009-ben a hatóság letiltotta a programozható rádiókkal megvalósítani kívánt GSM-lehallgatás demóját, addig most már az első napon élőben láthattuk, hogy hogyan lehet bemérni majd lehallgatni mobiltelefonokat egy laptop, két másik, 2000 Ft-os telefon, valamint néhány terányi szivárványtábla segítségével! A támadás megvalósításához szükséges összes tartozék könnyen beszerezhető, így már senki sem ringathatja magát abban a reményben, hogy a hívásainak lehallgatásához nem éri meg adott mennyiségű erőforrást felhasználni, a HACK számára viszont legalább egy izgalmas projektlehetőség adódott.

A múltba tekintő témák nyilván itt is gyakran a Stuxnet köré csoportosulnak, az ezzel fogalalkozó előadások közül FX "Hogyan írjunk saját disassemblert?" című értekezését sikerült steamen megnéznem. Ebben amellett, hogy gépi-utasítás-szintű bepillantást nyerhettünk az állítólagos kiberfegyver kódjába, olyan új nézőpontból tekinthettünk az általa okozott problémára, amely tulajdonképpen a biztonsági szakértők szavahihetőségét illetve kompetenciáját kérdőjelezi meg: Miért hasraütéssel becsüljük a féreg keletkezésének idejét, mikor a fordító által elhelyezett mettaadatok tartalmazzák a fordítások idejét? Miért hívják egyáltalán Stuxnet-nek, ha a kódban nem található utalás ilyen karakterláncra?

És bár az ipari vezérlőrendszerek biztonságának fontosságát Berlinben sem vonja kétségbe senki, Ertunga Arsal és Tereknz Flotow SAP biztonságról szóló előadását is szeretném kiemelni, amit minden SAP üzemeltetőnek kötelező anyag kellene hogy legyen. Ezeken a rendszereken keresztül is igen komoly dolgok manipulálhatók, és mint kiderült, az üzleti folyamatokra fókuszáló architektúra kényelmes környezetet biztosít a támadóknak és rootkitjeiknek is, egyáltalán nem valószínűtlen tehát, hogy a "kiberkatonák" már rég megszállták a kritikus üzleti rendszereinket!

A fentiek mellett persze rengeteg izgalmas programon vehetünk részt a Dunkin Donuts humán DDoS-olásától kezdve az igazságügyi DNS-szakértés workshopokig, most viszont be kell fejeznem a poszt írását, hogy meghallgassam, hogyan fogok ingyen sörözni a következő fesztiválszezonban :)

Majdnem elfelejtettem: Élő streamek nézhetők a 27c3.fem-net.de címen, a felvételek pedig folyamatosan kerülnek fel a SecurityTube-ra