--- title: "Visita a una conferencia internacional de hackers" date: 2019-09-27 language: es topics: ["Amsterdam", "Nintendo", "cyber-security", "data", "hacking", "people", "work"] source_url: https://willem.com/es/2019-09-27_visita-a-una-conferencia-internacional-de-hackers/ --- # Visita a una conferencia internacional de hackers *OWASP Global AppSec Ámsterdam* > Este mes tuve la suerte de asistir a Global AppSec Ámsterdam, una conferencia internacional para hackers y especialistas en seguridad. Hubo charlas de antiguos agentes de inteligencia, cazarrecompensas, académicos y proveedores de software. Aprendí algunas de las técnicas de hacking más recientes, conocí a gente interesante y jugué a unos cuantos juegos retro geniales. Sigue leyendo para saber más. ## La Fundación OWASP y Global AppSec Ámsterdam La Fundación OWASP es una organización sin ánimo de lucro dedicada a crear herramientas, documentación, foros y conferencias sobre la seguridad del software. OWASP es especial porque no sufre presiones comerciales ni está vinculada a ninguna empresa tecnológica. Defienden que la seguridad de las aplicaciones es un problema de personas, procesos y tecnología, porque los enfoques más eficaces incluyen mejoras en todos estos ámbitos. Puedes encontrar más información sobre OWASP en https://www.owasp.org. Los eventos Global AppSec se organizan por todo el mundo. Este septiembre hubo uno en mi ciudad natal, Ámsterdam. Consulta su_calendario (https://www.owasp.org/index.php/OWASP_Events/upcoming_events) para saber si OWASP llega a tu ciudad. ![Global AppSec Ámsterdam](https://willem.com/global/images/403811a3464b.webp) ## Cuando la ciberseguridad se pone seria: aplastando terroristas Una de las historias más impresionantes la contó Chris_Kubecka (https://en.wikipedia.org/wiki/Chris_Kubecka), una mujer que ha trabajado para la Fuerza Aérea de EE. UU. y el Comando Espacial de Estados Unidos. Es investigadora de seguridad informática y especialista en ciberguerra. ![Ponencia principal de la especialista en ciberguerra Chris Kubecka](https://willem.com/global/images/8d317a6e37bb.webp) Habla de su trabajo en la Embajada Real de Arabia Saudí en La Haya. Es fascinante saber cómo intervinieron la policía local, el Cuerpo Diplomático y agentes especiales para evitar, al final, un atentado con bomba en el Kurhaus_de_Scheveningen (https://en.wikipedia.org/wiki/Kurhaus_(Scheveningen). Cuando oyes historias así te das cuenta de que no todo lo que pasa sale en las noticias. ![Lecciones aprendidas tratando con terroristas](https://willem.com/global/images/ad3f0bba8321.webp) ## Café y juegos Tras la ponencia principal sobre terroristas, ciberguerra y atentados con bomba tocaba café y juegos. Jugar a juegos retro es una forma divertida de conocer a otros hackers en la conferencia, porque enseguida tienes un tema de conversación en común. Y viene bien, porque a la mayoría de los expertos en informática les cuesta un poco romper el hielo cuando toca socializar... ![Café y PONG en la videoconsola con monitor CRT](https://willem.com/global/images/86cc76d31a28.webp) ![DuckHunt con una pistola Zapper original de Nintendo](https://willem.com/global/images/3ebd793dd0c1.webp) ![¿Te acuerdas de cuando este era un ordenador normal y corriente? Fíjate en el teclado IBM modelo M... ¡madre mía!](https://willem.com/global/images/5ac85970a721.webp) ## Técnicas de hacking Después del café había varias sesiones a las que asistir. Elegí unas cuantas según mis intereses personales y mi trabajo. ### XSS persistente en el cliente Una de las charlas a las que fui trataba de atacar sitios web que usan Local Storage o cookies. Se llamaba, muy acertadamente, "Don't trust the locals", y la presentación de Marius_Steffens (https://cispa.saarland/people/marius.steffens/) y Ben_Stock (https://cispa.saarland/people/ben.stock/) me pareció muy interesante. Su investigación académica demostró que muchos sitios web son vulnerables a amenazas que consiguen un punto de apoyo permanente. ![El XSS persistente en el cliente es una amenaza real, por Marius Steffens y Ben Stock](https://willem.com/global/images/f7a3c90be9d0.webp) ### Hackear PayPal con un ataque de desincronización HTTP En su brillante charla, James_Kettle (https://portswigger.net/research/http-desync-attacks-request-smuggling-reborn) describe su investigación sobre una de las técnicas de hacking posiblemente más peligrosas de la web moderna: el HTTP_Request_Smuggling_mediante_la_desincronización_de_peticiones_HTTP (https://portswigger.net/research/http-desync-attacks-request-smuggling-reborn). Esta técnica aprovecha vulnerabilidades cuando un sitio web usa una red de distribución de contenidos (CDN), una caché web o un cortafuegos de aplicaciones web (WAF). Es alucinante aprender esto, entender el principio de fondo y saber cómo defenderse de este tipo de ataque. ![James Kettle sobre cómo hackear PayPal: 38.900 dólares en recompensas](https://willem.com/global/images/aa04e0114bcd.webp) ### Economía del hacking: ¿cuánto vale una cuenta hackeada? En otra charla interesante, Jarrod_Overson (https://jarrodoverson.com) explica cómo están los ataques_de_relleno_de_credenciales (https://jarrodoverson.com/post/no-2fa-does-not-stop-credential-stuffing-attacks-79de7476a80a/). Este tipo de ataque consiste en probar en distintos sitios web nombres de cuenta y contraseñas filtrados, y sorprendentemente funciona bastante, porque mucha gente usa la misma contraseña en varios sitios. Explica cómo_saltarse_los_CAPTCHAS (https://jarrodoverson.com/post/bypassing-captchas-with-headless-chrome-93f294518337/) y cómo los hackers hacen que su malware imite el comportamiento humano para cometer fraude. Concluye que el fraude es un problema humano, no técnico, y que lo mueve la economía más simple: ¡hackear sale a cuenta! ![Hackear rentabilidades de inversión: entre el 100% en el extremo bajo y el 150.000% en el alto (por Jarrod Overson)](https://willem.com/global/images/3c11c554de6f.webp) ### La mentalidad del hacker En su charla, Gergö_Turcsányi (https://twitter.com/gergoturcsanyi?lang=en) cuenta cómo se hizo cazarrecompensas. Explica que no hace falta ser un matemático brillante para dedicarse a esto: basta con un poco de creatividad y tiempo para ir toqueteando. ¡Al final eso le llevó a hackear Google con éxito! ![Hackeando Google: cómo podría haberte robado las fotos de Google (Gergö Turcsányi)](https://willem.com/global/images/d039827bdd65.webp) ## Conclusión ¡Visitar Global AppSec fue fantástico! Es un privilegio conocer a otros hackers, aprender de ellos y oír cosas que normalmente no salen en las noticias. Sea lo que sea lo que te lleves de una conferencia, siempre habrá algo que no esperabas aprender. ¡Y ese aprendizaje inesperado es lo que hace que ir a conferencias merezca tanto la pena! ![Global AppSec Ámsterdam](https://willem.com/global/images/1053cb217048.webp)