--- title: "Visita a una conferenza internazionale di hacker" date: 2019-09-27 language: it topics: ["Amsterdam", "Nintendo", "cyber-security", "data", "hacking", "people", "work"] source_url: https://willem.com/it/2019-09-27_visita-a-una-conferenza-internazionale-di-hacker/ --- # Visita a una conferenza internazionale di hacker *OWASP Global AppSec Amsterdam* > Questo mese ho avuto la fortuna di partecipare a Global AppSec Amsterdam, una conferenza internazionale per hacker ed esperti di sicurezza. C'erano interventi di ex agenti dei servizi segreti, cacciatori di taglie, accademici e produttori di software. Ho imparato alcune delle più recenti tecniche di hacking, ho conosciuto persone interessanti e ho giocato a dei giochi retrò fighissimi. Continua a leggere. ## OWASP Foundation e Global AppSec Amsterdam L'OWASP Foundation è un'organizzazione senza scopo di lucro che crea strumenti, documentazione, forum e conferenze sulla sicurezza del software. OWASP è speciale perché è libera da pressioni commerciali e non è legata a nessuna azienda tecnologica. Sostengono che la sicurezza delle applicazioni vada affrontata come un problema di persone, processi e tecnologia, perché gli approcci più efficaci alla sicurezza delle applicazioni migliorano tutti questi aspetti. Trovi di più su OWASP su https://www.owasp.org. Gli eventi Global AppSec si organizzano in tutto il mondo. A settembre ce n'era uno nella mia città, Amsterdam. Guarda il_loro_programma (https://www.owasp.org/index.php/OWASP_Events/upcoming_events) per scoprire se OWASP arriva nella tua città. ![Global AppSec Amsterdam](https://willem.com/global/images/403811a3464b.webp) ## Quando la cybersicurezza diventa reale: sconfiggere i terroristi Una delle storie più impressionanti l'ha raccontata Chris_Kubecka (https://en.wikipedia.org/wiki/Chris_Kubecka), una donna che ha lavorato per l'aeronautica militare degli Stati Uniti e per lo United States Space Command. È ricercatrice di sicurezza informatica e specialista di guerra cibernetica. ![Keynote della specialista di guerra cibernetica Chris Kubecka](https://willem.com/global/images/8d317a6e37bb.webp) Racconta del suo lavoro presso l'ambasciata reale dell'Arabia Saudita all'Aia. È interessantissimo scoprire come la polizia locale, il corpo diplomatico e agenti speciali siano stati coinvolti per sventare alla fine un attentato dinamitardo al Kurhaus_di_Scheveningen (https://en.wikipedia.org/wiki/Kurhaus_(Scheveningen). Quando senti queste storie ti rendi conto che non tutto quello che succede finisce nei telegiornali! ![Lezioni imparate nel trattare con i terroristi](https://willem.com/global/images/ad3f0bba8321.webp) ## Caffè e giochi Dopo il keynote su terroristi, guerra cibernetica e attentati era ora di un caffè e di qualche gioco. Giocare ai giochi retrò è un modo divertente per conoscere altri hacker alla conferenza, perché hai subito qualcosa in comune di cui parlare. Torna utile, dato che la maggior parte degli esperti di IT ha bisogno di una mano per rompere il ghiaccio quando si tratta di socializzare... ![Caffè e PONG sulla console di video sport con monitor CRT](https://willem.com/global/images/86cc76d31a28.webp) ![DuckHunt con una pistola ottica Nintendo originale](https://willem.com/global/images/3ebd793dd0c1.webp) ![Ti ricordi i tempi in cui questo era un computer qualsiasi? Nota la tastiera IBM modello M... accidenti!](https://willem.com/global/images/5ac85970a721.webp) ## Tecniche di hacking Dopo il caffè c'erano varie sessioni da seguire. Ne ho scelte alcune in base ai miei interessi personali e al mio lavoro. ### XSS persistente lato client Uno degli interventi che ho seguito riguardava gli attacchi ai siti web tramite Local Storage o cookie. Il titolo azzeccato era "Don't trust the locals", e la presentazione di Marius_Steffens (https://cispa.saarland/people/marius.steffens/) e Ben_Stock (https://cispa.saarland/people/ben.stock/) era molto interessante. La loro ricerca accademica ha rivelato che molti siti web sono vulnerabili a minacce che si insediano in modo permanente! ![L'XSS persistente lato client è una minaccia reale, di Marius Steffens e Ben Stock](https://willem.com/global/images/f7a3c90be9d0.webp) ### Hackerare PayPal con un attacco di desincronizzazione HTTP Nel suo brillante intervento James_Kettle (https://portswigger.net/research/http-desync-attacks-request-smuggling-reborn) descrive la sua ricerca su quella che forse è una delle tecniche di hacking più pericolose del web moderno: l'HTTP_Request_Smuggling_tramite_desincronizzazione_delle_richieste_HTTP (https://portswigger.net/research/http-desync-attacks-request-smuggling-reborn). Questa tecnica sfrutta le vulnerabilità quando un sito web usa una content delivery network (CDN), una cache web o un web application firewall (WAF). È fantastico scoprirlo, capire il principio di fondo e imparare a difendersi da questo tipo di attacco. ![James Kettle sull'hacking di PayPal: 38.900 dollari di taglie guadagnati](https://willem.com/global/images/aa04e0114bcd.webp) ### Economia dell'hacking: quanto vale un account hackerato? In un altro intervento interessante Jarrod_Overson (https://jarrodoverson.com) spiega lo stato degli attacchi_di_credential_stuffing (https://jarrodoverson.com/post/no-2fa-does-not-stop-credential-stuffing-attacks-79de7476a80a/). Questo tipo di attacco usa nomi di account e password trapelati su siti web diversi, e ha un successo sorprendente perché molta gente usa la stessa password su siti diversi. Spiega come_aggirare_i_CAPTCHA (https://jarrodoverson.com/post/bypassing-captchas-with-headless-chrome-93f294518337/) e come gli hacker fanno imitare al loro malware il comportamento umano per le frodi. Conclude che la frode è un problema umano, non tecnico, guidato da una semplice economia: conviene hackerare! ![Il ritorno sull'investimento dell'hacking va da un minimo del 100% a un massimo del 150.000%! (Di Jarrod Overson)](https://willem.com/global/images/3c11c554de6f.webp) ### La mentalità dell'hacker Nel suo intervento Gergö_Turcsányi (https://twitter.com/gergoturcsanyi?lang=en) racconta come è diventato un cacciatore di taglie. Spiega che per farlo non serve essere un matematico incredibilmente bravo: basta un po' di creatività e un po' di tempo per andare a curiosare. Alla fine questo gli ha permesso di hackerare Google con successo! ![Hackerare Google: come avrei potuto rubarti le foto da Google (Gergö Turcsányi)](https://willem.com/global/images/d039827bdd65.webp) ## Conclusione Visitare Global AppSec è stato fantastico! È un privilegio incontrare altri hacker, imparare da loro e sentire cose che di solito non vedrai al telegiornale. Qualunque cosa ti porti a casa da una conferenza, ci sarà sempre qualcosa che non ti aspettavi di imparare. È questo apprendimento inatteso che rende una conferenza ben più che meritevole dello sforzo! ![Global AppSec Amsterdam](https://willem.com/global/images/1053cb217048.webp)