Ekoparty 2014: cierre y resumen de una semana imperdible

(por Rubén Borlenghi, el Microsaurio) Reunión de hackers que comenzó escuchando a quienes armaron parte de esa historia en estas pampas. Claro, además del noble hack para aprender, algunos hicieron cracks y otros escribieron virus, pero también era por fines educativos, por supuesto. Altruista sentimiento que comparten todos los presentadores actuales y la mayoría de los asistentes, que quede claro. Para que los que estuvieron recuerden y quienes faltaron lo lamenten

Repasar el día final sería muy largo, así que dejo que la memoria elija, ayudada por observaciones de los sagaces organizadores.

* La presentación de Luciano Martin, Privacidad – una historia de desencuentros, muy útil para los asistentes más jóvenes, me recordó comentarios anteriores de Fede Kirschbaum sobre éstos y su interés en la Eko. Y tuve que coincidir, porque conocer el accionar de las empresas que explotan los impulsos por figurar y ser conocido/popular (hola Fbook), o las corporaciones que recolectan datos personales sumados a preferencias comerciales (acá el contenido del paréntesis sería demasiado largo…) es una necesidad para ese colectivo.

* Otro tema, tratado por varios conferencistas: las variadas maneras de controlar, modificar, ownear, un teléfono celular (este año le tocó al Android OS). Lo demostraron eficientemente Drew Suarez y los Martines Balao y Fernández.

* Muchos desafíos para el público, como los de Onapsis, ESET (este era multi-nivel y quedaron varios por el camino…) y el tradicional lockpicking.

* Los laburantes cotidianos de la seguridad informática pudieron ver en funcionamiento varias herramientas: IDA Synergy, para IDAPro, de Federico Muttis y Aníbal Sacco; BARF, de Christian Heitman; Cartero, la herramienta de Matías Brutti; el mapeador de Shellcode de Javier Aguinaga; Agafi para gadgets, Nicolás Economou, y el EvilWatcher de Thiago Bordini.

* El llamado de atención realizado por el ingeniero Eduardo Ap Iwan, de Sion, que se metió de lleno en La Seguridad en el Inframundo de la Capa 3. Consultado sobre su presentación, eligió representarla mediante un comentario técnico: las transmisiones se dicen digitales cuando las mismas se modulan enviando símbolos que son representados matemáticamente por un sistema binario (…) Sin embargo siempre las transmisiones se realizarán mediante ondas electromagnéticas; y una frase ligeramente provocativa: el mundo digital en el mundo real no existe, no viajan 0 y 1, el mundo es 100% analógico, el modelo que utilizamos para entenderlo es digital. Para jóvenes “nacidos en la era IP, por lo cual para ellos una red transporta 0 y 1” fue una excelente oportunidad de conocer “lo que ocurre a bajo nivel en las redes de telecomunicaciones sobre distintos tipos de acceso a ellas ya sea a través de par de cobre (tecnología DSL), fibra óptica (GPON/FTTH) y coaxil (CATV/DOCSIS)”. Y como pasé años en el taller, con soldador, tester y osciloscopio, tengo que coincidir. Por ejemplo, fijate lo que presentó en la misma Eko el técnico de seguridad de Citrix, Rahul Sasi (más abajo).

Jero Basaldúa y Leo Pigñer también habían señalado presentaciones o talleres que venían con expectativa previa del público. Eran (y el orden no es un ranking):

* Hacking RFID Billing Schemes For Fun and Free Rides, a cargo del brasileño Marcio Almeida Macedo. Había bastante expectativa previa, dado que el ruido producido en 2008 por la publicación de fallas de seguridad en las tarjetas de pago para viajes en transporte público se ha mantenido. Marcio aclaró que las vulnerabilidades en esas tarjetas, que serían varios centenares de millones usadas en muchísimos países (entre ellos el nuestro) pertenecen a un grupo de tarjetas que, según el fabricante, tenían problemas que han sido superados en el modelo que se usa actualmente. Ahhhh. En todo caso, Marcio procedió frente a la audiencia a demostrar la falla en una tarjeta local (modelo antiguo).

* Hacking Cable TV network part 2, presentada por el indio Rahul Sasi, colaborador entusiasta de Garage4Hackers. Rahul, luego de explicar características del sistema de distribución de señales en los sistemas de cable tanto para TV analógica como digital, mostró videos demostrativos de intercepciones (en circuito cerrado, claro…) en cuatro instancias del sistema: los servidores y los protocolos de distribución de TV digital, los decodificadores hogareños y las líneas de distribución. La platea, encantada. El procedimiento, ingresar la señal “indebida” modificando las conexiones dentro de un edificio de un proveedor local, me recordó la patriada del Capitán Medianoche aunque Rahul manipuló conexiones físicas, mientras que MacDougall en el 86 movió una parabólica. Pensando en los centenares de miles de afectados posibles en caso de uno de estos ataques, recordé la presentación sobre Capa 3 que anoté ahí arriba…

* BERserk: New RSA signature forgery attack, presentado por Yuriy Bulygin y Alexander Matrosov. No es la primera vez que la audiencia de la Eko recibe información de primera mano sobre fallas criptográficas, con detalladas instrucciones sobre cómo se puede producir una intrusión. Baste recordar BEAST y CRIME, entre otros… En este caso el equipo de expertos rusos de Intel Security explicó las fallas de verificación que existían en una firma RSA dentro de código de Mozilla, y como un man in the middle podría usar esa puertita. Ah, “berserk” se podría traducir como enloquecido, y para el juego de palabras aprovecha la existencia de una secuencia criptografiada de Basic Encoding Rules (BER) en la implementación de la verificación de la firma RSA.

Los que quieran repasar el contenido completo lo encontrarán, por ahora, en esta parte del website de la Eko.

Y llegó la hora en que los organizadores cierran esta Eko, saludan, felicitan ayudantes, reparten premios. También hubo una breve e inmisericorde proyección de fotos de los organizadores de las Eko cuando tenían catorce años menos y mucho más pelo.

En cuanto a los premiados corresponde mencionar:

* premio “A la mejor charla ever de la Eko” para Barnaby Jack que en 2010 presentó “Jackpotting Automated Teller Machines” y demostró en vivo qué sabía hacer para que un cajero automático escupiese billetes.

* premio “A la Destrucción Masiva” para los presentadores de BEAST, Juliano Rizzo y Thai Duong.

*premio a la trayectoria, a Gerardo Richarte.

Por supuesto, desfilaron por el escenario los integrantes del equipo multinacional (BR-PE-AR) de ganadores del CTF, que se llevaron 16.000 nacionales; los que ganaron el certamen de Networking de Base4 (10.000 arg), también los de lockpicking y los desafíos de Onapsys, la gente de Python Argentina y 2600-AR.

Sobre el CTF, Quintero había comentado que la idea de poner a los concursantes en un área lateral dentro de la carpa/auditorio, para que no se perdieran las conferencias, tuvo como resultado… que los participantes del CTF miraban sus pantallas, a fin de resolver los desafíos, y no prestaban atención a los presentadores; en cuanto al desafío de networking, el interés por esta novedad demostró que muchos asistentes estaban muy interesados en ponerle la mano encima a las firewall appliances y demás componentes. La oferta de equipos era muy grande, y se jugó hasta el último minuto.

Hubo revoleo de remeras y gorras. Hubo emoción, como en las palabras de Fede: “que la eko siga siendo un lugar de encuentro…”

Y regresé a casa, mojado y aterido (los extranjeros aprendieron el significado de sudestada) recordando mis afirmaciones de años anteriores: acá se ejercitan las neuronas, se saluda a los amigos y se aprende. Poco más podría pedirse.