--- title: "Besuch einer internationalen Hackerkonferenz" date: 2019-09-27 language: de topics: ["Amsterdam", "Nintendo", "cyber-security", "data", "hacking", "people", "work"] source_url: https://willem.com/de/2019-09-27_besuch-einer-internationalen-hackerkonferenz/ --- # Besuch einer internationalen Hackerkonferenz *OWASP Global AppSec Amsterdam* > Diesen Monat hatte ich das Glück, bei der Global AppSec Amsterdam dabei zu sein, einer internationalen Konferenz für Hacker und Sicherheitsexperten. Es gab Vorträge von ehemaligen Geheimdienstmitarbeitern, Bug-Bounty-Jägern, Wissenschaftlern und Softwareanbietern. Ich habe einiges über die neuesten Hacking-Techniken gelernt, interessante Leute getroffen und ein paar coole Retro-Spiele gespielt. Lies weiter für mehr. ## OWASP Foundation und Global AppSec Amsterdam Die OWASP Foundation ist eine gemeinnützige Organisation, die Tools, Dokumentation, Foren und Konferenzen rund um Softwaresicherheit schafft. OWASP ist etwas Besonderes, weil es frei von kommerziellem Druck ist und zu keinem Technologieunternehmen gehört. Die Organisation betrachtet Anwendungssicherheit als ein Problem von Menschen, Prozessen und Technologie, denn die wirksamsten Ansätze verbessern alle drei Bereiche. Mehr über OWASP findest du auf https://www.owasp.org. Die Global-AppSec-Veranstaltungen finden überall auf der Welt statt. Im September gab es eine in meiner Heimatstadt Amsterdam. Schau in den Terminplan (https://www.owasp.org/index.php/OWASP_Events/upcoming_events), um herauszufinden, ob OWASP auch in deine Stadt kommt. ![Global AppSec Amsterdam](https://willem.com/global/images/403811a3464b.webp) ## Wenn Cybersicherheit ernst wird: Terroristen zur Strecke bringen Eine der beeindruckendsten Geschichten erzählte Chris_Kubecka (https://en.wikipedia.org/wiki/Chris_Kubecka). Sie hat für die US Air Force und das United States Space Command gearbeitet und ist Forscherin für Computersicherheit und Spezialistin für Cyberkriegsführung. ![Keynote von Cyberkriegs-Spezialistin Chris Kubecka](https://willem.com/global/images/8d317a6e37bb.webp) Sie sprach über ihre Arbeit in der Botschaft von Saudi-Arabien in Den Haag. Es war hochinteressant zu hören, wie die örtliche Polizei, das diplomatische Korps und Spezialagenten eingebunden waren, um am Ende einen Bombenanschlag auf das Kurhaus_in_Scheveningen (https://en.wikipedia.org/wiki/Kurhaus_(Scheveningen) zu verhindern. Bei solchen Geschichten wird dir klar, dass nicht alles, was passiert, in den Nachrichten landet! ![Lehren aus dem Umgang mit Terroristen](https://willem.com/global/images/ad3f0bba8321.webp) ## Kaffee und Spiele Nach der Keynote über Terroristen, Cyberkriegsführung und Bombenanschläge war es Zeit für Kaffee und Spiele. Retro-Spiele sind eine lockere Art, auf der Konferenz andere Hacker kennenzulernen, denn man hat sofort ein gemeinsames Thema. Das hilft, denn die meisten IT-Leute brauchen beim Socializing etwas Starthilfe, um das Eis zu brechen... ![Kaffee und PONG auf der Videospielkonsole mit Röhrenmonitor](https://willem.com/global/images/86cc76d31a28.webp) ![DuckHunt mit einem originalen Nintendo Zapper](https://willem.com/global/images/3ebd793dd0c1.webp) ![Erinnerst du dich an die Zeit, als das ein ganz normaler Computer war? Achtung, die IBM-Model-M-Tastatur... oh Mann!](https://willem.com/global/images/5ac85970a721.webp) ## Hacking-Techniken Nach dem Kaffee gab es mehrere Sessions zur Auswahl. Ich habe ein paar ausgesucht, passend zu meinen Interessen und meiner Arbeit. ### Persistentes clientseitiges XSS Einer der Vorträge, die ich besucht habe, ging um Angriffe auf Websites über Local Storage oder Cookies. Der Vortrag von Marius_Steffens (https://cispa.saarland/people/marius.steffens/) und Ben_Stock (https://cispa.saarland/people/ben.stock/) hieß treffend "Don't trust the locals" und war sehr spannend. Ihre wissenschaftliche Untersuchung zeigte, dass viele Websites für Angriffe anfällig sind, die sich dauerhaft festsetzen! ![Persistentes clientseitiges XSS ist eine echte Bedrohung, von Marius Steffens und Ben Stock](https://willem.com/global/images/f7a3c90be9d0.webp) ### PayPal hacken mit einem HTTP-Desync-Angriff In seinem brillanten Vortrag beschreibt James_Kettle (https://portswigger.net/research/http-desync-attacks-request-smuggling-reborn) seine Forschung zu einer der vielleicht gefährlichsten Hacking-Techniken im modernen Web: HTTP_Request_Smuggling_durch_Desynchronisieren_von_HTTP-Anfragen (https://portswigger.net/research/http-desync-attacks-request-smuggling-reborn). Die Technik nutzt Schwachstellen aus, wenn eine Website ein Content Delivery Network (CDN), einen Web-Cache oder eine Web Application Firewall (WAF) verwendet. Es ist spannend, das kennenzulernen, das Prinzip dahinter zu verstehen und zu lernen, wie man sich gegen solche Angriffe schützt. ![James Kettle über das Hacken von PayPal: 38.900 $ an Prämien](https://willem.com/global/images/aa04e0114bcd.webp) ### Hacking-Ökonomie: Was ist ein gehackter Account wert? In einem weiteren interessanten Vortrag erklärt Jarrod_Overson (https://jarrodoverson.com) den Stand der Credential-Stuffing-Angriffe (https://jarrodoverson.com/post/no-2fa-does-not-stop-credential-stuffing-attacks-79de7476a80a/). Dabei werden geleakte Benutzernamen und Passwörter auf anderen Websites ausprobiert. Das ist erstaunlich erfolgreich, weil viele Leute auf verschiedenen Seiten dasselbe Passwort benutzen. Er zeigt, wie_man_CAPTCHAS_umgeht (https://jarrodoverson.com/post/bypassing-captchas-with-headless-chrome-93f294518337/) und wie Hacker ihre Malware menschliches Verhalten nachahmen lassen, um zu betrügen. Sein Fazit: Betrug ist ein menschliches Problem, kein technisches, getrieben von simpler Ökonomie. Hacken lohnt sich! ![Hacking mit Renditen zwischen 100 % am unteren und 150.000 % am oberen Ende! (Von Jarrod Overson)](https://willem.com/global/images/3c11c554de6f.webp) ### Die Hacker-Denkweise In seinem Vortrag erzählt Gergö_Turcsányi (https://twitter.com/gergoturcsanyi?lang=en), wie er Bug-Bounty-Jäger wurde. Dafür muss man kein genialer Mathematiker sein, sagt er. Man braucht nur ein bisschen Kreativität und Zeit, um herumzustochern. Am Ende hat er so erfolgreich Google gehackt! ![Google hacken: Wie ich deine Fotos bei Google hätte stehlen können (Gergö Turcsányi)](https://willem.com/global/images/d039827bdd65.webp) ## Fazit Die Global AppSec war fantastisch! Es ist ein Privileg, andere Hacker zu treffen, von ihnen zu lernen und Dinge zu hören, die du normalerweise nicht in den Nachrichten siehst. Egal, was du von einer Konferenz mitnimmst, es ist immer etwas dabei, das du nicht erwartet hättest. Genau dieses unerwartete Lernen macht den Besuch von Konferenzen so lohnend! ![Global AppSec Amsterdam](https://willem.com/global/images/1053cb217048.webp)