Registrujte se

Bezpečnost a soukromí

Soukromí, šifrování, sledování, záloha dat, monitoring, audit, hesla, hacking, cracking, malware, phishing

Sociální inženýrství, aneb nejsnazší metoda hackingu

Přednáška | D0206 | Sobota 11:00 - 11:45

Jak postupuje hacker, pokud chce napadnout daný cíl, například banku? Začne prolamovat internetové bankovnictví, hraniční firewall či hesla služeb? Rozhodně může. Avšak chytrý hacker zvolí cestu nejmenšího odporu. Místo prolamování technických zabezpečení zacílí na nejslabší článek celého IT ekosystému - na člověka, na zaměstnance banky, na Vás. Na základě svojí mnohaleté praxe etického hackera představím konkrétní techniky, které kyberzločinci při tomto postupu, zvaném sociální inženýrství, používají.

Bezpečnost a soukromí Sociální inženýrství socialing vishing phishing rubber ducky
avatar

Lukáš Antal

Senior Cyber Security Specialist
AEC a.s.

Strasti penetračního testování

Přednáška | D0206 | Sobota 12:00 - 12:45

Cílem přednášky je rozšířit povědomí o penetračním testování, jak na něj a je v ní shrnuto několik penetračních testů, aneb učíme se z chyb programátorů primárně webových aplikací. Přednáška může obsahovat stopy arašídu, bezpečnostních zranitelností a sarkasmu.

Bezpečnost a soukromí security white hat penetrační testování hackthebox security attack
avatar

Ondřej Langr

PHP Developer
Dixons Carphone CoE
avatar

Michal Filo



Zámečky nikoho nezajímaj'

Přednáška | E112 | Sobota 15:00 - 15:45 |

Prohlížeče postupně skrývají zámeček u šifrovaných HTTPS spojení a to je dobře. No jo, ale proč je to vlastně dobře? Šifrování, HTTPS, „zelené certifikáty“, to je oč tu (po)běží.

Požadavky:
Přednáška je vhodná pro účastníky, kteří již vyčerpali svůj rozpočet na nákup HTTPS certifikátů

Bezpečnost a soukromí Browser HTTPS s̶s̶l̶ TLS Certifikáty Network Security
avatar

Michal Špaček



Co všechno (ne)změní DNS over HTTPS

Přednáška | D0207 | Sobota 16:00 - 16:45 |

Aktuální kroky Mozilly v implementaci DNS over HTTPS (DoH) sklízejí hodně kritiky a obav, ale také nadšení a podpory. Jaké jsou pro to důvody? Kde jsou technická a právní úskalí DoH? Během přednášky bude shrnuto aktuální silně nekoordinované dění na úrovni implementace tohoto protokolu do browserů a operačních systémů a dopad těchto kroků na stávající sítě a soukromí uživatelů. Cílem přednášky je poskytnout účastníkům dostatek detailů a aktuální vhled o velkých změnách na prehistorickém protokolu.

Bezpečnost a soukromí DNS over HTTPS DoH
avatar

Robert Šefr

CTO
Whalebone, s.r.o.

Vyhledávejte na netu jako MacGyver

Přednáška | D105 | Sobota 17:00 - 17:45 |

Když něco neznám a chci to najít, tak použiju… Google. No jo, ale co když chci najít veřejně přístupné a na Internet připojené web kamery, nebo elektrárny? Nebo napadené databáze a ukradená hesla? Nebo třeba HTTPS certifikáty, které často odhalí testovací a hůře zabezpečené nebo zapomenuté servery? Co by udělal MacGyver? No, přišel by na tuhle přednášku. Ukážeme si Certificate Transparency, vyhledávač Shodan, neobvyklé dotazy do Google a další tipy a triky.

Požadavky:
Přijďte, dík

Bezpečnost a soukromí shodan certificate transparency vyhledávání gůgl google
avatar

Michal Špaček



Exploitace aplikací pro začátečníky

Workshop | A113 | Neděle 10:00 - 11:45

Ve workshopu si probereme základy exploitace velmi zranitelných aplikací a uvedeme si příklady na demo aplikacích. Bude sranda :)

Požadavky:
Vlastní laptop s Linuxem (požadavky na balíky: gdb, radare2 (možnost GUI nadstavby - Cutter), ASM/C skill výhodou

Bezpečnost a soukromí Bezpečnost a soukromí exploit security 2guys1application white hat binary analysis penetration testing low level
avatar

Ondřej Langr

PHP Developer
Dixons Carphone CoE
avatar

Michal Filo



Bezpečnosť v DNS

Přednáška | D105 | Neděle 10:00 - 10:45 |

DNS bol jeden z posledných protokolov, ktorý nemal možnosť bezpečného prenosu dát a aj napriek tomu nim prenášame citlivé údaje. V prednáške sa pozrieme, co sa v tomto smere zmenilo a aké máme možnosti - z pohľadu užívateľa a administrátora.

Bezpečnost a soukromí Security Bezpečnost a soukromí HTTPS TLS Network Security DNS
avatar

Ľubor Jurena


skHosting.eu

Saving the World: Increasing Efficiency and Accuracy of Encrypted Traffic Analysis of People at Risk

Přednáška | D105 | Neděle 11:00 - 11:45 |

Activists, journalists and human rights defenders are in hostile environments and in constant danger as they deal with sensitive information. They are often exposed to targeted and sophisticated attacks. We designed the Emergency VPN which allows us to help people in danger by analyzing their mobile traffic. This way we can identify if a device is infected or find its vulnerabilities that may put the user at risk. However, the biggest challenge for the network analyst is to quickly and accurately detect malicious encrypted traffic. The speed of the analysis is a critical factor in this work. To improve the speed of the analysis of HTTPS traffic, we combine specific features extracted from HTTPS traffic with state of the art machine learning methods. In this talk we will show how this combination allowed us to increase the efficiency and accuracy of Encrypted traffic analysis of people at risk. In a live demo, we will demonstrate a detection of malicious traffic in a mobile device.

Bezpečnost a soukromí Security Data Bezpečnost a soukromí HTTPS TLS Network Security Malware TLS 1.2 TLS 1.3 Machine Learning Traffic Civil society Hacktivity
avatar

František Střasák

výzkumník
Centrum Umělé Inteligence FEL ČVUT
avatar

Jan Fajfer

Výzkumník
Centrum Umělé Inteligence ČVUT
avatar

Veronica Valeros

Výzkumník
Centrum Umělé Inteligence ČVUT

Minority Reports

Přednáška | D105 | Neděle 12:00 - 12:45 |

Hurá, budoucnost je tu. Sice ji ještě neumíme předvídat, ale návštěvníci a jejich browsery už vám dnes mohou prozradit, co se děje s vaším webem. Automaticky a hned. Zákeřný JavaScript? Expirované certifikáty? Čtyřistačtyřky? Pády browseru? To všechno umí Reporting API a to všechno vám ukážu naživo, rovnou v browseru.

Požadavky:
Aby přišli. A uměli otevřít browser a developer tools.

Bezpečnost a soukromí reportování browser csp nel reporting api no slides
avatar

Michal Špaček



Dopady GDPR na software aneb ochrana dat klientů nejen finančních institucí

Přednáška | D0207 | Neděle 12:00 - 12:45 |

Téma GDPR pomalu mediálně v ČR utichá. Společnosti provedly nějaké, blíže neurčené a individuální kroky, vedoucí mnohdy i ke zvýšení bezpečnosti svých systémů a procesů. Většina uživatelů obdržela desítky žádostí o souhlas se zpracováním osobních údajů. Zdá se, že svět je zase o něco bezpečnější a téma GDPR je vyřešeno. Je tomu tak ale opravdu? Příspěvek seznamuje posluchače s vybranými dopady na vývoj či potřebnou funkcionalitu software, poukazuje na vybrané, nové požadavky, které jsou na software obhospodařující osobní údaje, kladeny a přináší vhled do možné realizace. Zjistěte i Vy, jak hluboko králíčí nora vlastně vede a s čím je potřeba počítat, pokud má být systém v souladu s novou, evropskou regulací.

Bezpečnost a soukromí GDPR ochrana osobních údajů vývoj software architektura
avatar

Radek Beneš

Soudní znalec ICT
Znalecká kancelář IT

Fantastic Attacks and How Kalipso can Find Them

Přednáška | D105 | Neděle 13:00 - 13:45 |

Detecting attacks in a network is very hard due to the huge amount of information, and the similarity between attacks and normal traffic. Knowing the traffic of your computer is hard enough, more so in a large network. An analyst has to decide and block infected computers without being aware of all the details. A company may afford a large detection system based on big data, but what about you? Slips is a network intrusion detection system that uses flows, behaviors, and machine learning to detect attacks in a network. Based on Zeek and with a modular structure it is easy to extend the system with new models of your design, leaving the final decision to an internal ensembling algorithm. From flow-based port scan detection to anomaly detection, threat intelligence, VirusTotal integration, geolocation and machine learning profiling, slips includes modules that can give a comprehensive high-level view of your security. However, it is very hard to show this information clearly and to include the analyst in the process. Enter Kalipso. Kalipso is a nodejs-based terminal interface designed to display the complexity of the information produced by Slips. This interface helps traffic analysts to quickly get a superficial understanding of what is going on in the network. With animated graphs and charts based on the blessed and the blessed-contrib libraries, it is possible to configure and connect data from Slips meaningfully. After slips filled the redis database, Kalipso is ready to display the information. It creates a tree with all IP addresses in the traffic, separating the data in time windows. For every IP and time window, it shows a timeline, detections, and a map with the geolocation of all the destination IPs contacted. Each IP address is modeled using stacked bars and tables based on the destination ports contacted, destination IPs contacted, source ports used, and ports opened as a server. Different windows are accessed with hotkeys, and important information is highlighted with several font types and colors. Distinctive outgoing connections are displayed together with their VirusTotal information and behavioral model. Complete with the ability to copy information to the clipboard or save it into a file, Kalipso allows the analyst to rapidly overview what is happening in a network.

Bezpečnost a soukromí Security Bezpečnost a soukromí Attacks machine learning nodejs Interface Python Free software malware OWASP
avatar

Sebastian Garcia

Director
Stratosphere
avatar

Kamila Babayeva

Reseacher
Civilsphere

Tvoje data jsou tvoje: jak na vlastní cloud

Přednáška | D0207 | Neděle 13:00 - 13:45 |

Velcí internetoví hráči už dávno vědí, jak cenná jsou data o lidech. My, obyčení uživatelé služeb, si to už taky začítáme uvědomovat. V dnešní době přesahu internetu a sítí do běžného života je stále důležitější si svá data chránit a přemýšlet, kam co uložit a co komu poskytnout. Nebudu se ale věnovat notoricky známým hrozbám zveřejňování informací na sociálních sítích. V přednášce si spíše ukážeme jednu z cest, jak si udržet data co nejvíc v soukromí. Půjde o dokumenty, e-maily, vlastně elektronickou komunikaci obecně. Aneb: jak se osvobodit od cizích cloudů a přejít do cloudu vlastního. Varování: během přednášky můžete pocítit mírný chladný závan stihomamu.

Bezpečnost a soukromí bezpečnost soukromí data šifrování dokumenty komunikace
avatar

Pavel Baksy


OpenAlt z.s.

Vládní bezpečnostní certifikace a open source

Přednáška | D105 | Neděle 14:00 - 14:45 |

Jdou (především) vládní standardy, certifikace, bezpečnost a open source vůbec dohromady? Odpověď zní ano, ale.. V přednášce se dozvíte, co a jaké jsou vládní certifikace, odpoveď na to, jak jdou dohromady s open source, na jaké "ale" můžete narazit a to hlavně pro FIPS 140-2(-3), Common Criteria atd. Celé z pohledu čistě praktického - přednášející se již několik let snaží získávat razítka pro produkty firmy Red Hat a každý šedý vlas je mu toho svědkem.

Bezpečnost a soukromí certifikace FIPS Common Criteria bezpečnost vládní standardy
avatar

Jaroslav Řezník

Industry and Government Certifications Program Manager
Red Hat

GPS apocalypse now! : Jak nedělat bezpečnost.

Přednáška | D105 | Neděle 15:00 - 15:45 |

Na aktuálním stále probíhajícím výzkumu bezpečnosti GPS trackeru ukážu jak nedělat IoT bezpečnost a jak nekontrolovaný "supply chain" může vést k bezpečnostním incidentům gigantických rozměrů. Pokud se Vám dělá špatně když vidíte chybějící autorizaci, autentikaci, výchozí hesla nebo HTTP, pytlík s sebou.

Bezpečnost a soukromí iot gps tracker bezpecnost supply chain
avatar

Martin Hron

Senior researcher
Avast s,r,o.

Ludus: Securing your router with Game Theory

Přednáška | D0207 | Neděle 15:00 - 15:45 |

The rising number of attacks against home network routers brings up the importance of securing these devices better. However, the range of available means of defense for home routers is limited. Additional constraints, such as performance of the devices has to be considered when designing a defense strategy. In our talk we will present project Ludus, which is the result of almost 3 years of research in this collaboration with CZ.NIC - a manufacturer of Turris routers. It brings the idea of collaborative defense for a large groups of users. That means users can join forces to defend against attackers, and help each other to better secure their devices. Our open-source tool, Ludus allows users to utilize our research and improve the security of their Turris routers and other OpenWRT devices right out of the box. With the help of this tool each individual can improve their own router security by joining together with the whole community of users. The primary defense mechanism in our tool is the honeypot: a trap which is designed to stop or stall the attacker while extracting information about the intruder and the course of the attack. There are dozens of types of honeypots, but bearing in mind the technical limitations of the devices, users have to choose where to deploy them. Even though the concept of honeypots dates back more than 20 years, nowadays the development of the technology seems to be somehow stalling. The proposed method is a new approach to automatic honeypot deployment based on Game Theory and explained in detail in the talk. Moreover, we discuss the problem of objective measurement of the defense strategy efficiency. For that, we propose a combination of security metrics as well as an overall measure of the security. This is intended to give the users and analysts a numerical value on the state of security enabling them to act on this information and further adjust the defense mechanisms. By comparing the metrics through time users can see whether their security is improving or not, as well as comparing their own security to the overall aggregated security of other routers utilizing Ludus. The aggregated and anonymized data as well as the metrics are available for further research for anyone interested.

Bezpečnost a soukromí Turris Security Bezpečnost a soukromí Network Security Routers Suricata Game Theory Honeypots
avatar

Ondřej Lukáš

Developer
Stratosphere Research Laboratory
avatar

Sebastian Garcia

Director
Stratosphere
avatar

Kalin Ivanov



Ukázka používání frameworku Metasploit

Přednáška | D0207 | Neděle 16:00 - 16:45 |

Přednáška ukáže na možnosti použití open-source nástroje Metasploit pro útoky a zneužití zranitelností včetně živé ukázky a také poukáže na důležitost instalace bezpečnostních záplat a udržování Vašich systémů v nejnovějších verzích.

Požadavky:
Znalost síťových protokolů

Bezpečnost a soukromí security metasploit msf hacking
avatar

Michal Novotný

Malware Researcher & Security Analyst
GreyCortex s.r.o.