RootedCon 2023: Crónica del tercer día

 Al llegar el tercer día lo primer que fue hacer acopio de algo de merchandising.

En la sala 25, antes de empezar, presentaron una canción inédita compuesta por un amigo de la asociación y especialmente para RootedCon. 

La primera charla la dio José Manuel Vera (@jmveraortiz): "Hacker memes... ¿En serio?"

RootedCon 2023 - José Manuel Vera

Ha creado una historia enlazando memes relacionados con la seguridad, empezando por la procedencia del término "meme" y cómo se generaron en general. Su conclusión ha sido que para las campañas de concienciación los memes son una muy buena herramienta porque se recuerdan mejor.

La siguiente charla, "Atrápame si puedes" la dieron Lorenzo Martínez (@lawwait) y Juan Antonio Rodríguez (@guardiacivil).

RootedCon 2023 - Lorenzo Martínez y Juan Antonio Rodríguez

Lo primero que hicieron fue presentarse para posteriormente explicar las diferencias y similitudes que hay entre lo que pueden hacer las FCSE y un perito privado: cómo llega el encargo, formalización, cliente (juzgado, fiscalía, privado). También cómo o hasta dónde se pueden adquirir las evidencias y, por ejemplo, que uno privado no puede pedir datos a operadores de comunicaciones y la policía sólo con mandamientos judiciales. También explicaron qué tipos de casos pueden hacer los unos y los otros. Tampoco se han olvidado de la defensa del trabajo, que suele ser en el ámbito judicial: ambos tienen que convencer al tribunal. Después pusieron ejemplos de algunos casos que no salieron todo lo bien que cabía esperar. Algunos por problemas en la cadena de custodia, sospechas de alteración de evidencias (cambian muchos ficheros aunque podrían haber sido solo por actualización de sistema operativo y no el artefacto de interés). Hicieron hincapié en la importancia que tiene si aparecen otras cosas ajenas a la causa que se está investigando. Acabaron con un resumen sobre los informes periciales. "La credibilidad cuesta mucho ganarla y muy poco perderla." 

Cuando acabaron hicimos un muy pequeño descanso porque casi no dio tiempo. Por suerte sí que pudimos disfrutar de unas conchas Codan.

Después, de vuelta en la sala 25, tuvimos la ponencia "Das Bo0T..." por parte de Miguel Haro y Josué González.

RootedCon 2023 - Josué González y Miguel Haro

Han hablado de ciberseguridad industrial. Empezaron presentándose y haciendo una introducción de términos. Lo primero es la seguridad de las personas y lo siguiente la fiabilidad. Nos han mostrado una serie de libros y sistemas virtuales para aprender y probar. Además, diferenciaron entre el uso de malware normal en la industria y el malware industrial (específico para industria). Después pusieron algunos ejemplos de malware,  explicado qué son los gemelos digitales y en qué pueden ayudar o qué aplicaciones pueden tener con respecto a la seguridad: pentest, backups, inventariado, etc. Pero también explciaron los problemas y limitaciones que pueden tener los gemelos digitales. Uno de los ataques que han explicado es EvilPLC.

En cuanto acabaron Jesús Muñoz habló de ataques a redes móviles con "A malicious attacker versus 5G"

RootedCon 2023 - Jesús Muñoz

Hizo una introducción muy rápida sobre telefonía móvil y cómo se conecta un móvil con su SIM a la antena, el servicio y la base de datos de usuarios (SIMs y terminales). También desglosó la seguridad según las generaciones de telefonía móvil para centrarse en el 5G. Uno de los ataques mostrados era contra las tarjetas SIM, preocupante porque es un servicio que se usa muchas veces para la doble autenticación. Uno de los posibles ataques están los clonados de tarjetas pero hoy hay que ponerles unos parámetros muy específicos para que funcionen, entre otros la clave de operador, la cual no se puede obtener (fácilmente). Lo más rápido y fácil es conseguir un duplicado de tarjeta. El siguiente ataque que explicó fue el de hacer una estación base falsa aprovechando SDR. Después mostró en vídeo cómo configuró una estación base falsa y cómo se conectaba un móvil contra esa estación. Se vio cómo la transmisión del móvil se podía ver en claro desde el wireshark que tenía la estación base falsa. Lo siguiente que pudimos ver un ejemplo de GPS spoofing con SDR. 

Al acabar esa charla nos fuimos a comer y a la vuelta regresé a la sala 25, donde Tomás Isasia (@TiiZss y @tisasia) expuso "Firm to the future, firm from the past"

RootedCon 2023 - Tomás Isasia

Lo primero que hizo fue presentarse para después hacer una introducción de lo que nos iba a contar. La primera parte fue explicar cómo surgió la primera firma digital en 1976 y cómo en 1995 apareció la primera CA en España. Hay tres tipos de firmas: simple, avanzada y cualificada (que es equiparable a la manuscrita). Además, la cualificada tiene que tener varias características. Uno dispositivo cualificado puede ser un DNI, pero cada dos años hay que renovar el certificado que guarda o también otro dispositivo puede ser un USB criptográfico que únicamente puede guardar certificados. Nos contó varios formatos existentes; CMS/PKCS#7 (embebido y disociada), S/MIME, orientado a documentos XML o el propio de Adobe basado en PKCS#7 que puede ser una firma o más por fichero. Lo importante es que podría incluir timestamp. También explicó otros formatos: XAdES, XAdES y el PAdES. Continuó contando cómo funciona el proceso de firma y su verificación. La pregutna que se hizo y que le llevó a hacer la investigación era saber si realmente se verifica la fecha y hora que se le pasa al firmar. Por lo que mostró varios ataques conocidos a firmas digitales. Después hizo una serie de demos, entre las que estaba una en la que firmaba un documento con una hora en la que nos estaba hablando en directo y no estaba delante del ordenador. Otras PoC fueron firmar con una fecha anterior a la existencia del certificado o ficheros con firmas cuya fecha y hora están  en el futuro. Finalizó contando las situaciones en las que puede saltar una alerta por la incoherencia entre fechas. Tomás invitó a Lorenzo (Martínez) a que explicara por qué se puede identificar en un forense que se ha aplicado esta manipulación.

Después se hizo una ponencia sobre computación cuántica en la que explicaban cómo afecta a la ciber seguridad, por parte de Mario Muñoz, Gustavo A. Lara, Jesús Domingo y Francisco González

RootedCon 2023 - Mario Muñoz, Gustavo A. Lara, Jesús Domingo y Francisco González

Diferenciaron entre ordenadores corrientes y cuánticos. Los ordenadores cuánticos ponen tener el estado 0, 1 o los dos a la vez, es lo que se conoce como "el principio de superposición". También explicaron en su introducción a la computación cuántica cómo son los estados cuánticos de los "qbits" y cómo suceden. Los ordenadores cuánticos necesitan muchos parámetros para funcionar como tal o en caso contrario acaban dando resultados erróneos. Contaron que mezclar resultados de uno cuántico con la tradicional se le llama "hibridación". Tampoco se olvidaron del rendimiento de estos sistemas, aunque también afirmaron que no es correcto compararlos directamente por el uso al que los cuánticos suelen estar destinados. Después enumeraron algunas limitaciones y retos que tienen estos sistemas. Continuaron con las implicaciones que tienen respecto a la ciberseguridad, como esa afirmación de China que dice que han roto un RSA de 48 bits con un ordenador de este tipo. Tampoco se dejaron en en el tintero algunas consideraciones relacionadas con la seguridad, tanto las buenas como las no tan buenas. Y por último mostraron algunas soluciones que han hecho empresas grandes, haciendo hincapié en Azure Quantum.

Cuando acabaron nos fuimos a descansar media horita.

De nuevo en la sala 25, y antes de empezar la charla, la organización habló de la "hacker night" y dieron los números de cuántos researchers participaron, cómo lo hicieron, etc. 

RootedCon 2023 - Hacker Night

Según nos comunicaron, se encontraron unas 70 vulnerables. Eso sí: todos los investigadores firmaron un NDA antes de empezar el reto. Incidieron en que la calidad ha subido muchísimo con respecto a años anteriores. Además, mostraron los ganadores de un premio en metálico por la calidad de sus informes.

La siguiente charla la hizo Pablo San Emeterio (@psaneme) y se titulaba "Flutter inspection challenges".

RootedCon 2023 - Pablo San Emeterio

Lo primero que hizo fue preguntar si alguien sabía qué es "Flutter", el cual se trata de un framework de desarrollo de aplicaciones para que el resultado sea multiplataforma. Además permite quitar el ssl pinning. Nos habló de genymotion para posteriormente recordar por qué históricamente se empezó a cifrar las comunicaciones (debido al MITM). Después seguió con las técnicas de hooking en la aplicaciones utilizando, por ejemplo, Frida. Continuó contando qué les pasó con una aplicación en genymotion que no se dejaba instalar y cómo también lo intentaron con AVD. Mostró la investigación de cómo instalar Google Play con root en AVD ya que no es posible de forma nativa. Tras conseguirlo vieron cómo el descifrado seguía sin funcionar. Siguió mostrando cómo consiguieron con muchos quebraderos de cabeza descifrar las funciones y el código que había generado Flutter. Después mostró una demo, acabando con las conclusiones.

La última ponencia de esta edición en la sala 25 la hizo David Meléndez (@TaiksonTexas), "Tú no tienes poder aquí: sáltate los sistemas antidron con SDR"

RootedCon 2023 - David Meléndez

Primero se presentó indicando cómo comenzó y cómo le ha estado yendo hasta ahora. Después fue enunciando los distintos usos de drones con un tono muy cómico. Continuó con la detección de drones, como por ejemplo, con visión (tanto por personas como por IA) o su detección vía radiofrecuencia. Siguió describiendo los drones que ha montado y que ya explicó en ediciones pasadas. Para cada uno de ellos fue describiendo las mejoras que les fue añadiendo. Y ahora tocaba una nueva implementación. Expuso cómo ha creado una nueva implementación de modulación y para la que le dedicó mucho tiempo para explicarlo, incluyendo la placa/chip que ha utilizado: MT7628. Después encendió el dron que trajo, y al cual le había atado un cordel largo no fuera a ser que se dirigiera a la pantalla del cine donde estábamos. Tuvo algunas dificultades para encenderlo, a las que le quitaba importancia haciendo chistes y tal situación estresaba mucho a Román. Además, el dron haciendo musiquita mientras estaba arrancando. Cuando hubo encendido y David se dispuso a volarlo, alzó el vuelo dos segundos para inmediatamente después caer a plomo al suelo, con un gran alivio para Román.

Aquí acabó la edición de RootedCon 2023, despidiéndose todo el equipo y voluntarios en el escenario, y a los que espero poder ver el año que viene:

RootedCon 2023 - Equipo y voluntarios de RootedCon 2023