RootedCon 2026: crónica del tercer día

 Poco después de llegar me puse a jugar un poco con el lockpicking. Estuve intentándolo un ratillo y con las instrucciones de otro asistente, en poco tiempo... ¡Conseguí abrir un candado!

Yo, en RootedCon 2026, con el candado que he abierto

Verificación de edad descentralizada: Juan Hernández y Cristóbal Gazquez

RootedCon 2026 - Juan Hernández y Cristóbal Gazquez

Ha empezado presentándose. Es un creador de contenido y forma parte de una asociación de creadores. La verdad es que esta charla se me hizo un poco cuesta arriba. Habló de "la Ley de Influencers". Cualquiera en la sala puede ser un creador de contenido. También la Unión de Creadores forma parte de otra asociación internacional. La charla se fundamentó en una alternativa que ayude mejor a la regulación que se está haciendo actualmente. Después se incorporó a la ponencia Cristóbal Gazquez. Empezó a hablar de la historia de las redes sociales y cómo pasaron de movilizar a la población como revolución a convertirse en temas políticos. Seguió hablando de chat control y cómo ha evolucionado sus planteamientos. De ahí pasó a la verificación de edad. Habló de la Orden de Alejamiento Digital. También continuó con el anonimato en la red y la verificación de edad. Lo siguiente fue explicar alternativas como una cartera de verificación fría sin que haya nadie que lo gestione garantizado el anonimato. La adquisición de redes sociales por parte de empresas grandes (por ejemplo, en bolsa) fue porque se dieron cuenta que las polémicas y la polarización dan dinero. Conseguir polarizar es lo que hacen algunos creadores de contenido. La actual constitución española está desactualizada. Ahora hay que regular la máquina: buscar una constitución digital. En todo el periodo desde las redes sociales hemos perdido derechos. Ha llegado a un punto en el que ha pedido ayuda a la Comunidad para que participe a hacer una alternativa y compartir conocimiento. Hay que poner límite al monopolio digital. Bastante más adelante ha hablado de LaLiga, INCIBE, etc. 

Verificación de edad en linea...: Grego González y Alonso Rodríguez 

RootedCon 2026 - Grego González y Alonso Rodríguez

Lo primero que hicieron fue presentarse y explicar en qué áreas del proyecto han participado además de acreditar al resto del equipo involucrado. Siguieron con la línea de investigación basada en tres campos. Lo siguiente fue explicar sus motivaciones, la procedencia de otro proyecto, llamado Rayuela, que la edad de acceso a la pornografía se ha adelantado a los 8 años o los problemas que conlleva el acceso a la tecnología de los menores. Por lo que el objetivo del proyecto que estaban presentando era demostrar la edad real sin desvelar la identidad. Así llegaron a un listado de requisitos para alcanzar ese objetivo: privacidad, anonimato y usabilidad. Lo que hacen es usar una clave criptográfica y una verificación con certificado de confianza o número de teléfono. Nos enseñaron varios diagramas de flujo que muestran cómo funciona. Lo siguiente fue reproducir en un video alguna demo. Se certifica la edad tanto desde un número de teléfono como certificado digital. Sí explicaron el problema de los teléfonos de menores asociados a los padres o los menores emancipados a los cuales no les funcionaria. Terminó explicando cómo se le envía al proveedor de servicios el resultado, con las conclusiones y qué problemas tiene con las posibles soluciones. 

Cuando hubieron terminado me fui a hacer un descanso.

Resultados Hacker night: Omar Benbouazza y Lucas Varela 

RootedCon 2026 - Omar Benbouazza y Lucas Varela

Cuentan cómo empezaron a hacer los programas de bounties y cómo lo incorporaron en el evento. Contaron cómo lo vivieron: hasta las cinco de la mañana seguían dándolo todo. Explicaron cómo funciona un evento como este: las empresas saben que habrá discreción en los ataques que les van a hacer, y que el acceso que dan no se da así como así. Las empresas validan que lo que se encuentra está bien y dan premios muy golosos. Presentaron al representante del patrocinador que dio unas palabras y mostró el ranking y los premios económicos entregados. 

Canciones, hackers y otras pasiones del hacking: David Fidalgo y Jorge Martínez 

RootedCon 2026 - David Fidalgo y Jorge Martínez

Lo primero fue presentarse. Ellos hicieron la BSO de este año. Siguieron contando cómo hace la música, prescindiendo de ordenador: usando muchos cacharrines. Pero para la de RootedCon usó un aparatito muy pequeño: M8. Describió cómo está construido y cómo funciona.  Como es un tracker "la música no se toca, se programa" en hexadecimal. Con esa introducción describió cómo se trabaja y compone todo. Continuó hablando de la persona que lo ha fabricado y la comunidad que colabora con él y sus aportaciones. Explicó que como no hay stock es difícil de comprar, pero también están publicadas las instrucciones para montarlo. Mostró un vídeo de la composición grabada en directo. Lo siguiente fue hablar de los paradigmas del hacking musical. Los aparatos que ayudan "son ordenadores" pero sin sistema operativo. Lo siguiente fue enumerar las cajas de ritmos y los sintetizadores. Contó qué pasó con la Roland TB-303. Las conclusiones: ser hacker no es siempre lanzar exploits, es tener pensamiento lateral.

Cazadores de mitos en la DGT 3.0: Pedro Candel aka s4ur0n

RooteCon 2026 - Pedro Candel aka s4ur0n

Costó mucho empezar la presentación por problemas técnicos. "¿Algún informático en la sala?". Estuvo contando cosas de carrerilla por el tiempo perdido. Explicó que la plataforma DGT 3.0. explicó cómo pedir acceso a esa plataforma y los datos públicos que emite la DGT. Por ejemplo, a los conos conectados. Existe una conexión a una cola con MQTT.  Analizó varios dominios encontrados y sus certificados digitales. También explicó varios aspectos legislativos, leyes, etc. Después describió los protocolos y mensajes que dicen que tienen que tener. Los datos no van directamente a la DGT. Posteriormente mostró el modelo de los datos que se envían, todo por UDP. No envía datos personales ni matrícula o similares. Continuó con el API rest. Lo siguiente fue explicar el funcionamiento, incluyendo los componentes hardware y el número de fabricantes. Mostró fotos de balizas destripadas con las placas PCB serigrafiadas y sus componentes. Entre otras cosas explicó el arranque en modo debug mostrando los datos en texto plano. Presentó varios ataques. Lo siguiente fue contar un poco de reversing. La exploitation de los datos recopilados, en XML. Por ejemplo: el mapa de balizas. Hizo una demo accediendo en directo a la web que devuelve el XML. Después enseñó un script para recuper datos y que puede generar un mapa  con los valores encontrados. También puede poner una baliza falsa donde quiera. Hizo demo de cómo saldría pero sin emitirla. 

Y con esto terminamos la última ponencia de RootedCon 2026. Digo lo mismo que todos los años: Espero poder asistir el año que viene a la siguiente RootedCon. ¡Os veo allí!