--- title: "Visitar uma conferência internacional de hackers" date: 2019-09-27 language: pt topics: ["Amsterdam", "Nintendo", "cyber-security", "data", "hacking", "people", "work"] source_url: https://willem.com/pt/2019-09-27_visitar-uma-conferencia-internacional-de-hackers/ --- # Visitar uma conferência internacional de hackers *OWASP Global AppSec Amesterdão* > Este mês tive a sorte de assistir à Global AppSec Amesterdão, uma conferência internacional para hackers e especialistas em segurança. Houve apresentações de antigos agentes dos serviços secretos, caçadores de recompensas, académicos e fornecedores de software. Aprendi algumas das técnicas de hacking mais recentes, conheci pessoas interessantes e joguei uns jogos retro fixes. Acompanha-me para saberes mais. ## A OWASP Foundation e a Global AppSec Amesterdão A OWASP Foundation é uma organização sem fins lucrativos dedicada a criar ferramentas, documentação, fóruns e conferências em torno da segurança de software. A OWASP é especial porque está livre de pressões comerciais e não está ligada a nenhuma empresa de tecnologia. Defende que a segurança das aplicações se aborda como um problema de pessoas, de processos e de tecnologia, porque as abordagens mais eficazes incluem melhorias em todas estas áreas. Podes saber mais sobre a OWASP em https://www.owasp.org. Os eventos Global AppSec são organizados por todo o mundo. Em setembro houve um na minha cidade natal, Amesterdão. Vê o_calendário_deles (https://www.owasp.org/index.php/OWASP_Events/upcoming_events) para descobrires se a OWASP vai à tua cidade. ![Global AppSec Amesterdão](https://willem.com/global/images/403811a3464b.webp) ## Quando a cibersegurança é a sério: esmagar terroristas Uma das histórias mais impressionantes foi contada por Chris_Kubecka (https://en.wikipedia.org/wiki/Chris_Kubecka), uma mulher que trabalhou para a Força Aérea dos EUA e para o Comando Espacial dos Estados Unidos. É investigadora de segurança informática e especialista em guerra cibernética. ![Keynote da especialista em guerra cibernética Chris Kubecka](https://willem.com/global/images/8d317a6e37bb.webp) Fala do seu trabalho na Embaixada Real da Arábia Saudita em Haia. É muito interessante saber como é que a polícia local, o Corpo Diplomático e agentes especiais estiveram envolvidos para, no fim, evitar um atentado à bomba no Kurhaus_em_Scheveningen (https://en.wikipedia.org/wiki/Kurhaus_(Scheveningen). É quando ouves estas histórias que percebes que nem tudo o que acontece aparece nas notícias! ![Lições aprendidas ao lidar com terroristas](https://willem.com/global/images/ad3f0bba8321.webp) ## Café e jogos Depois da keynote sobre terroristas, guerra cibernética e atentados à bomba, chegou a hora de café e jogos. Jogar jogos retro é uma forma divertida de conhecer outros hackers na conferência, porque tens logo algo em comum para conversar. É útil, porque a maioria dos especialistas de TI precisa de uma ajudinha para quebrar o gelo quando se trata de socializar... ![Café e PONG na consola de desportos de vídeo com monitor CRT](https://willem.com/global/images/86cc76d31a28.webp) ![DuckHunt com uma pistola Nintendo original](https://willem.com/global/images/3ebd793dd0c1.webp) ![Lembras-te do tempo em que isto era um computador normal? Repara no teclado IBM modelo M... ai, ai, ai!](https://willem.com/global/images/5ac85970a721.webp) ## Técnicas de hacking Depois do café havia várias sessões a que podias assistir. Escolhi algumas com base nos meus interesses pessoais e no meu trabalho. ### XSS persistente do lado do cliente Uma das palestras a que assisti tratava de atacar sites através do Local Storage ou de cookies. Com o nome apropriado «Don't trust the locals», a apresentação de Marius_Steffens (https://cispa.saarland/people/marius.steffens/) e Ben_Stock (https://cispa.saarland/people/ben.stock/) foi muito interessante. A investigação académica deles revelou que muitos sites são vulneráveis a ameaças que ganham uma presença permanente! ![O XSS persistente do lado do cliente é uma ameaça real, por Marius Steffens e Ben Stock](https://willem.com/global/images/f7a3c90be9d0.webp) ### Hackear o PayPal com um ataque de dessincronização de HTTP Na sua palestra brilhante, James_Kettle (https://portswigger.net/research/http-desync-attacks-request-smuggling-reborn) descreve a sua investigação sobre aquela que talvez seja uma das técnicas de hacking mais perigosas da web moderna: HTTP_Request_Smuggling_por_dessincronização_de_pedidos_HTTP (https://portswigger.net/research/http-desync-attacks-request-smuggling-reborn). Esta técnica explora vulnerabilidades quando um site usa uma rede de distribuição de conteúdos (CDN), uma cache web ou uma firewall de aplicações web (WAF). É fantástico aprender isto, perceber o princípio subjacente e saber como te defenderes deste tipo de ataque. ![James Kettle sobre hackear o PayPal, o que lhe rendeu 38.900 dólares em recompensas](https://willem.com/global/images/aa04e0114bcd.webp) ### Economia do hacking: quanto vale uma conta comprometida? Noutra palestra interessante, Jarrod_Overson (https://jarrodoverson.com) explica o estado dos ataques_de_credential_stuffing (https://jarrodoverson.com/post/no-2fa-does-not-stop-credential-stuffing-attacks-79de7476a80a/). Este tipo de ataque consiste em usar nomes de conta e palavras-passe divulgados em sites diferentes, o que tem um sucesso surpreendente, porque muita gente usa a mesma palavra-passe em sites diferentes. Explica como_contornar_CAPTCHAS (https://jarrodoverson.com/post/bypassing-captchas-with-headless-chrome-93f294518337/) e como os hackers fazem o malware imitar o comportamento humano para cometer fraude. Conclui que a fraude é um problema humano, não técnico, movido por economia simples: compensa hackear! ![Hackear taxas de retorno do investimento entre 100% no mínimo e 150.000% no máximo! (Por Jarrod Overson)](https://willem.com/global/images/3c11c554de6f.webp) ### A mentalidade do hacker Na sua palestra, Gergö_Turcsányi (https://twitter.com/gergoturcsanyi?lang=en) conta como se tornou caçador de recompensas. Explica que não precisas de ser um matemático incrivelmente talentoso para isto, basta um pouco de criatividade e algum tempo para ir espreitar aqui e ali. No fim, isso levou-o a hackear a Google com sucesso! ![Hackear a Google: como eu podia ter roubado as tuas fotos da Google (Gergö Turcsányi)](https://willem.com/global/images/d039827bdd65.webp) ## Conclusão Visitar a Global AppSec foi fantástico! É um privilégio conhecer outros hackers, aprender com eles e ouvir falar de coisas que normalmente não vês nas notícias. Seja o que for que levas de uma conferência, haverá sempre algo que não esperavas aprender. É esta aprendizagem inesperada que faz com que valha mesmo a pena visitar conferências! ![Global AppSec Amesterdão](https://willem.com/global/images/1053cb217048.webp)