Gehackte auto's, WannaCry en social engineering - Insite Security B.V.
Gehackte auto's, WannaCry en social engineering
8 juni 2017 door Mathijs Hummel in Blogartikelen
Donderdag 1 juni organiseerden Insite Security en Embrace | Umbrella in Amersfoort het symposium Security Today & Tomorrow. Het symposium stond in het teken van de veranderende wereld van IT, Data Protection en Security.
Keynote | Mikko Hypponen
Helaas mis ik net het openingswoord van collega Erik Rutkens, maar gelukkig ben ik net op tijd om keynote van Mikko Hypponen te horen. De zaal is goed gevuld, dus stilletjes zoek ik een plekje achterin de zaal. De zaal hangt aan Mikko's lippen als hij ons meeneemt in de wereld van Internet of Things (IoT) en de groeiende rol van Artificial Intelligence. Natuurlijk gaat hij in op de recente WannaCry-aanval: hij schetst het verloop van de uitbraak en geeft zelfs een ooggetuigenverslag. Hij benoemt de verschillende soorten slachtoffers en de schade en wie daarvoor nu eigenlijk als verantwoordelijke moet worden aangewezen. Zijn dit de organisaties die hun processen niet (goed) op orde hebben? Staten? De hackers? De softwareontwikkelaars, of toch de inlichtingendiensten en de staten? Een interessante sessie over de balans tussen de technische en organisatorische aspecten van informatiebeveiliging en de sterke ethische en morele vraagstukken! Wat me in ieder geval bij blijft is dat Mikko geen goed woord over had voor de patch die Microsoft heeft uitgebracht voor Windows XP. Letterlijk zegt hij "XP moet dood!". Die boodschap is begrepen Mikko.
Bezoekers hebben de keuze uit verschillende break-out sessies. Ik schuif aan bij de sessie van Mathieu Paapst van ICTrecht, 'Stilte voor de Storm.' Maar, zoals Mathieu aan het begin van zijn presentatie vertelt, die stilte is inmiddels voorbij; de storm is losgebarsten. Over minder dan een jaar moeten we voldoen aan de Algemene Verordening Gegevensbescherming, maar wat betekent dat en wat komt er op ons af? In 45 minuten krijgen we het juridische privacykader voorgeschoteld en natuurlijk de wijzingen ten opzichte van nu. Ook wordt er volop van de mogelijkheid gebruik gemaakt om praktijkvoorbeelden te bespreken en vragen beantwoord te krijgen. Een zeer geslaagde sessie!
Over minder dan een jaar moeten we voldoen aan de Algemene Verordening Gegevensbescherming.
Tijdens de pauze praat ik met enkele mensen die naar de presentatie van Edwin van Andel zijn geweest.
Ik luister geanimeerd naar hun enthousiaste verhalen want deze sessie moest ik, vanwege de overlap met de andere break-out sessie van Mathieu, helaas missen.
Al snel wordt mij duidelijk dat Edwin de toehoorders meeneemt in de wereld van de hackers en met behulp van levendige voorbeelden en fantastische anekdotes duidelijk maakt hoe het gesteld is met de beveiliging van bijvoorbeeld websites en apps. Tijdens zijn betoog trakteert hij winnaars van quizvragen op een flesje Club-Mate: het 'hackersdrankje' bij uitstek. Zijn visie en missie is de digitale wereld iedere dag weer een stukje veiliger te maken en ervoor te zorgen dat men ziet en ervaart dat er heel veel hackers zijn die goede dingen doen en daarmee juist aan die veiligheid bijdragen in plaats van misbruik te maken van kwetsbaarheden. Hackers kunnen en moeten volgens Edwin veel meer geknuffeld worden.
Edwin, de volgende sessie zorg ik dat ik in de zaal zit. Neem je de Club-Mate mee?
Na de pauze woon ik de sessie bij van mijn ITsec-collega Pieter Meulenhoff over Security of Things. Op zeer vermakelijke wijze gaat Pieter in op de vele security-gerelateerde aandachtspunten van IoT-apparaten. Hij vertelt over het hacken van elektrische auto's, maar ook het blokkeren van autosleutels. Speciale aandacht gaat uit naar de menselijke kant in de techniek van informatiebeveiliging en de aandacht voor programmeren in het onderwijs.
Tijdens de presentatie wordt er flink gelachen, dus zowel inhoudelijk als qua sfeer een zeer geslaagde sessie!
GDI foundation| Victor Gevers
Victor typeert zichzelf onder meer als, ethisch hacker, wereldverbeteraar en vrije tijdloos. Dit en meer wordt bevestigd in zijn presentatie. Victor vertelt vol passie over zijn missie en inspanningen om de (digitale) wereld steeds veiliger te maken. Deze drang is voor hem zelfs zo groot, dat hij een jaar lang (onbezoldigd!) lekken en kwetsbaarheden heeft geconstateerd en gemeld bij nationale overheden, commerciële organisaties en vele andere partijen. Zijn bevindingen zijn indrukwekkend en nog interessanter is het om te horen welke partijen ook daadwerkelijk iets met de melding hadden gedaan. De presentatie wordt gecombineerd met een korte quiz, waarvan de twee winnaars naar voren worden geroepen door Erik Rutkens. De winnaars hebben de eer om met collectebussen de zaal rond te gaan om zo donaties op te halen voor Victor. Hij verrichte deze werkzaamheden immers onbezoldigd. De zaal doneerde gul, de bewondering voor Victor en zijn werk was groot.
Wie ben ik? | Captain Crunch
Last but not least, Captain Crunch. Wat moet ik hiervan zeggen? Op geheel eigen en onnavolgbare wijze verschijnt Captain Crunch ten tonele. Met zijn dikke bos haar en goede snor lijkt hij zo uit de seventies te komen. Hij presenteert zichzelf als oerhacker, de godfather, de grondlegger van het hacken zoals we het nu kennen. Vol bravoure zal hij de zaal een geschiedenisles geven en even laten zien wie de beste hacker ter wereld is. Of toch niet?
Nog geen tien minuten na het verschijnen van Captain Crunch wordt zijn presentatie bruut verstoord: hij wordt zelf gehackt… De hacker neemt de presentatie over en confronteert het publiek met de zwakte van de menselijke schakel. Deze verborgen figuur is namelijk niet zomaar een hacker, hij is een social engineer. Hij koos zijn prooi en ging er als een roofdier op af. Zijn slachtoffers gaven nietsvermoedend informatie af. Het publiek wordt op deze manier geconfronteerd met zichzelf. De menselijke psychologie staat centraal. (Lees ook de blog: Hoe bescherm ik mijn gegevens?)
Gelukkig legt Captain Crunch ons uit hoe je van de mens ook je sterkste schakel kunt maken, als je hem/haar de juiste aandacht geeft en een bewustwordingsprogramma uitvoert.
Na deze confronterende presentatie sluit Erik Rutkens de middag af en is het tijd voor de borrel en hapjes!
Ik kijk terug op een leuke, interessante en geslaagde middag. Ik hoop dat de andere aanwezigen dit kunnen beamen. Tot de volgende keer?