Bezpieczeństwo komputerowe w praktyce

Security PWNing Conference 2016

Pobierz zaproszenie

           

      We współczesnym świecie zmiany następują w błyskawicznym tempie. Dotyczy to także środowiska informatycznego, gdzie atakujący stale doskonalą swoje techniki, a i obrońcy nie próżnują. Powstają coraz nowsze metody ominięcia barier programowych służących zapewnieniu bezpieczeństwa, a równocześnie ewoluują rozwiązania wykorzystywane w systemach, zapewniających bezpieczeństwo IT.

    Gynvael zdjęcie  W imieniu Gynvaela Coldwinda, Przewodniczącego Rady Programowej, zapraszamy do udziału w konferencji Security PWNing Conference. Spotkanie to będzie świetną okazją do zapoznania się z bieżącymi zagrożeniami związanymi z bezpieczeństwem IT, zdobycia nowych umiejętności i doświadczenia oraz wymiany poglądów między atakującymi i obrońcami oraz wspólnej dyskusji o bieżących problemach i nowych możliwościach.

Podczas konferencji wystąpią najlepsi eksperci z Polski i Europy. Swoją wiedzą i doświadczeniem podzielą się z Wami m. in.: James Forshaw, Krzysztof Kotowicz, Marek Marczykowski-Górecki, Mateusz Jurczyk, Piotr Konieczny i Michał Sajdak.

      Chcesz wiedzieć wszystko o bezpieczeństwie IT? Zarejestruj się na Security PWNing Conference już dziś!

Do udziału w konferencji zapraszamy osoby zainteresowane i zajmujące się bezpieczeństwem informatycznym – praktyków i entuzjastów.

W szczególności zapraszamy:

  • specjalistów ds. bezpieczeństwa IT,
  • osoby odpowiedzialne za administrowanie sieciami i systemami IT,
  • konsultantów i ekspertów bezpieczeństwa informacji,
  • pracowników firm, dostarczających rozwiązania w zakresie bezpieczeństwa IT,
  • studentów,
  • pasjonatów bezpieczeństwa informatycznego. 

Program

Otwarcie konferencji
Gynvael Coldwind
Prelekcja ekspercka - TBA
Gynvael Coldwind
Documented to Fail
James Forshaw

API documentation is supposed to be an example of clear and precision information so that developers can write effective applications and avoid security pitfalls. Of course certainly when it comes to Windows this isn’t always the case. This presentation will go into some issues I’ve discovered over my years of research which show clear lack of precise security documentation, leading to vulnerable conditions. The API documentation can also be a useful source of assumptions about the behaviour of a system which can be used to develop testing strategies.

This presentation should be interest to attendees who in particular have to develop applications on Microsoft platforms as well as security researchers who like interesting logical vulnerabilities. Not all the bugs are fixed, they continue to be issues with the documentation which will come back to haunt developers for many years to come.

Same Origin Policy – wiwisekcja
Krzysztof Kotowicz

Bezpieczeństwo platformy webowej od zawsze opierało się na Same Origin Policy, jednak owa polityka przeszła w ciągu ostatnich lat sporą ewolucję. Rosnące potrzeby aplikacji webowych spowodowały wysyp nowych funkcji. Powstał HTML5, CORS, Content Security Policy, Fetch API, Service Workers, First-party Cookies czy Per-Page Suborigins, każde z nich wprowadzając subtelne zmiany w klasycznym modelu bezpieczeństwa webowego i operując na żywym organizmie Same Origin Policy. Podczas  prezentacji zobaczymy, czy po tych zabiegach SOP wyszła zdrowsza (i dlaczego nie), a także jak wykorzystać tę wiedzę do praktycznych ataków na aplikacje internetowe.

Graficzny format Windows Metafile: analiza wektorów ataku i najnowszych podatności
Mateusz Jurczyk

Stary, 16-bitowy format obrazków WMF a także jego odświeżone wersje (EMF, EMF+) nie cieszą się dziś dużą popularnością, lecz błędne byłoby przekonanie, że całkowicie odeszły w zapomnienie i nie są już istotnym wektorem ataku. Pliki te wciąż są wspierane przez przeglądarkę Internet Explorer, są natywnym formatem przechowywania obrazków wektorowych w dokumentach pakietu Microsoft Office, a także grają istotną rolę w procesie buforowania wydruków. Jako zapis graficzny będący w zasadzie listą wywołań funkcji GDI, są one przede wszystkim niezwykle ciekawym i obiecującym celem z perspektywy badacza. Jednym ze znanych odkrytych dotychczas błędów była podatność związana z funkcją SetAbortProc naprawiona w 2005 r., która wykorzystywała udokumentowaną cechę formatu w celu nadpisania wskaźnika na funkcję adresem danych wejściowych, prowadząc do zdalnego wykonania kodu.

Czy GDI i powiązane implementacje zostały od tego czasu gruntownie przebadane? Czy wciąż kryją się w nich równie poważne błędy? Do jakiego stopnia pliki EMF mogą wchodzić w interakcję z systemem operacyjnym? Celem tej prezentacji jest odpowiedzenie na owe pytania poprzez omówienie wyników niedawnych badań autora w tym obszarze, wraz ze szczegółowym opisem procesu odkrywania i exploitacji wielu interesujących podatności załatanych przez firmę Microsoft w ostatnich miesiącach.

Śledzenie ścieżki wykonania procesu: dla security researchera i programisty
Robert Święcki

Fuzzujesz kod by znaleźć błędy bezpieczeństwa, analizujesz malware, grasz w CTF-y, czy też może debugujesz skomplikowany program? Każde z tych zadań na pewno byłoby nieco prostsze gdybyś mógł w efektywny sposób uzyskać informację na temat tego jak Twój program tak naprawdę się zachowuje: które partie kodu wykonuje i w jakiej kolejności.

Typowe narzędzia oferowane security researcherom oraz programistom, i dostępne w popularnych systemach operacyjnych, bywają albo mało precyzyjne albo też mało wydajne. Dlatego też producenci mikroprocesorów w ostatnich latach zaczęli implementować coraz to bardzie zaawansowane metody śledzenia wykonywanych programów. Te najnowsze pozwalają na śledzenie wykonywanego kodu w czasie już niemalże rzeczywistym.

Przegląd metod zaczniemy od przypomnienia tych najstarszych (od znanego każdemu programiście printf-based debuggingu), lecz szybko przejdziemy do metod najnowszych – opartych o technologie takie jak Intel Processor Trace, ARM CoreSight czy też Branch Trace Store. Pokażemy też praktyczne zastosowania prezentowanych metod.

Niekoniecznie zaufane urządzenia i co można z nimi zrobić w Qubes OS
Marek Marczykowski-Górecki

Podłączenie niezaufanego urządzenia do komputera może mieć nieoczekiwane konsekwencje. Szyna PCI daje dostęp do całej pamięci systemu, szyna USB jest stosunkowo skomplikowana i wiele sterowników (jak i same kontrolery!) zawiera luki. W prelekcji zostaną pokazane zagrożenia jakie niosą ze sobą różne urządzenia i jak można nim przeciwdziałać w Qubes OS. Będzie o VT-d, urządzeniach blokowych, HID, audio i kilku innych. Szczególna uwaga będzie poświęcona niezaufanym urządzeniom wejściowym (mysz, klawiatura).

Prelekcja ekspercka - TBA
Piotr Konieczny
Krytyczne błędy konfiguracji
Borys Łącki

Prezentacja zawiera szereg przykładów krytycznych podatności związanych z błędną konfiguracją usług. Zostaną przedstawione szczegóły błędów oraz ich wpływ na bezpieczeństwo systemów. Prelegent zwróci uwagę na najważniejsze aspekty ochrony zasobów firmowych, z perspektywy osób odpowiedzialnych za konfigurację.

Hackowanie internetu rzeczy
Michał Sajdak

W trakcie prezentacji zaprezentowanych zostanie kilkanaście podatności w urządzeniach sieciowych. Hackowanie samochodów, dziury w elektronicznych zabawkach dla dzieci, problemy w kamerach, monitorach czy domowych routerach – to tylko kilka przykładów, które będą omawiane w trakcie prelekcji.

Purple Teaming - dwie strony Mocy
Dorota Kulas i reenz0h

Czym jest Red Teaming ? Czy to nie to samo co pentesty?

Case studies.

Czym jest Purple Teaming ?

Przykłady / doświadczenia.

Analiza aplikacji z wykorzystaniem instrumentacji
Mariusz Burdach

Instrumentacja jest metodą analizy zachowania aplikacji. Polega ona na wstrzyknięciu napisanego przez nas kodu do oryginalnego kodu aplikacji. Metoda ta jest przydatna przy analizie aplikacji do których nie posiadamy kodu źródłowego i aplikacji, które są zabezpieczone przed debugowaniem/uruchomieniem w środowiskach wirtualnych/deasemblacją.

Podczas wykładu pokażemy w jaki sposób wykorzystać tę technikę do analizy złośliwego oprogramowania dla systemów Microsoft Windows (x86, x86_64) oraz do aplikacji mobilnych (iOS). Prezentacja zawiera przykłady zastosowań dla programów zabezpieczonych narzędziami komercyjnymi czy złośliwym oprogramowaniem Andromeda i Nymaim.

Warto zauważyć, że również w przypadku aplikacji mobilnych ta technika pozwala nam na śledzenie zachowania aplikacji i jej interakcji z komponentami systemu (np. dla systemu iOS z keychain czy Security Enclave).

Stan bezpieczeństwa aplikacji mobilnych polskich banków
Tomasz Zieliński

Podatność mobilnej aplikacji finansowej na wyciek danych lub wykonanie niezamierzonych przez użytkownika akcji zagraża długofalowymi konsekwencjami. Mowa tak o utracie środków, jak i np. nieświadomym udziale w praniu brudnych pieniędzy. W prezentacji przedstawione zostaną wyniki badań, jakim pracownicy PGS Software poddają obecnie aplikacje polskich banków działające na smartfonach z systemami Android. Ze wstępnych wyników dowiadujemy się, że już na pierwszy rzut oka dostrzec można liczne błędy w sztuce, jak np. komunikacja przy użyciu niezabezpieczonych połączeń HTTP, obecność debugowego i testowego kodu, próby eskalacji uprawnień do poziomu super użytkownika czy brak reakcji na błędne certyfikaty HTTPS.

Realne ataki, realne straty - 2016 w Polsce i na świecie
Adam Haertle

Przegląd najpoważniejszych ataków dotykających w ostatnich miesiącach firmy i użytkowników na całym świecie. Przykłady z Polski i ze świata, związki, skutki i prognozy.

Wieczór autorski z autorami "Praktyczna inżynieria wsteczna: Metody, techniki i narzędzia"

AFTER PARTY

partyJeśli chcesz:

– zrelaksować się po intensywnym konferencyjnym dniu,

– porozmawiać z innymi uczestnikami i prelegentami,

– nawiązać nowe kontakty,

ZAPRASZAMY NA AFTER PARTY!

 

Prelegenci

Przewodniczący Rady Programowej

Gynvael_T2Jx9xFCi3,q250

GYNVAEL COLDWIND

Gynvael Coldwind
Programista pasjonat z zamiłowaniem do bezpieczeństwa komputerowego i niskopoziomowych aspektów informatyki, a także autor licznych art... więcej
James Forshaw
James is a security researcher in Google’s Project Zero. He has been involved with computer hardware and software security for over 10 yea... więcej
Mateusz Jurczyk
Wicekapitan i współzałożyciel zespołu "Dragon Sector", drużyny należącej do ścisłej czołówki światowej w zawodach typu Security... więcej
Piotr Konieczny
Od 12 lat pomaga największym polskim i zagranicznym firmom w zabezpieczaniu sieci oraz serwisów internetowych. Absolwent Glasgow Caledonia... więcej
Krzysztof Kotowicz
Badacz bezpieczeństwa, specjalizujący się w Javascript i nowych technologiach platformy webowej. Autor otwartoźródłowych narzędzi dla... więcej
Borys Łącki
Od ponad 10 lat testuje bezpieczeństwo IT. Jest autorem kilkudziesięciu prelekcji na branżowych konferencjach m.in. Confidence, SECURE, A... więcej
Marek Marczykowski-Górecki
Doświadczony administrator Linux, specjalizujący się w bezpieczeństwie i wirtualizacji. Programista systemowy udzielający się w projek... więcej
Robert Święcki
Badacz problemów z dziedziny bezpieczeństwa komputerowego, szczególnie w zakresie niskopoziomowym oraz systemów operacyjnych. Autor kilk... więcej
Mariusz Burdach
Pracuje w Prevenity gdzie zajmuje się analizami złośliwego oprogramowania, identyfikacją błędów w aplikacjach mobilnych z systemem iO... więcej
Adam Haertle
Miłośnik bezpieczeństwa i prywatności, który nie zawsze stosuje swoje porady w praktyce. Pracuje jako IT Security Officer w UPC, gdzie ... więcej
Dorota Kulas
Pracuje w IT od 2001 roku, początkowo jako administrator systemów unixowych, następnie wiele lat jako administrator sieci i analityk ds.... więcej
reenz0h
Wieloletni fan(atyk?) zagadnień związanych z bezpieczeństwem IT, głównie ataków na sieci (protokoły komunikacyjne) oraz systemy oper... więcej
Tomasz Zieliński
Programista, lider zespołu mobilnego w firmie PGS Software. W trakcie kilkunastoletniej kariery pracował nad utrzymaniem oprogramowania fi... więcej

ESCAPE ROOM

W trakcie pierwszego dnia konferencji zapraszamy Was do zabawy ESCAPE ROOM.

Dom Zagadek przygotuje specjalnie dla Was  grę wymagającą analitycznego myślenia, kojarzenia faktów i spostrzegawczości… Przeżyj z nami niezapomnianą przygodę!

galaxy-1356074_640

Miejsce i termin

7-8 listopada, Warszawa
Klub ARCO
ul. Bitwy Warszawskiej 1920 r. 19, Warszawa

e-mail: dlugokecka@accata.pl

CALL FOR PARTNERS

Serdecznie zapraszamy do współorganizacji Security PWNing Conference 2016.

Wszystkie firmy zainteresowane współpracą lub oddelegowaniem swoich pracowników do udziału w konferencji, prosimy o kontakt z Agnieszką Borzęcką (agnieszka.borzecka@pwn.pl)

Z prawdziwą radością powitamy w naszym gronie również Twoją firmę!

Formularz rejestracyjny

Warunki uczestnictwa

Warunkiem udziału w konferencji jest wypełnienie poniższego formularza zgłoszeniowego oraz akceptacja regulaminu.

Podstawą do uiszczenia należności jest faktura pro forma, która zostanie przesłana w postaci PDF na adres mailowy podany w zgłoszeniu.

Nieuregulowanie faktury pro forma nie jest równoznaczne z rezygnacją z udziału w konferencji.

Zasady składania rezygnacji zostały określone w regulaminie.

W przypadku złożenia rezygnacji w terminie późniejszym niż 14 dni kalendarzowych przed terminem wydarzenia, organizator zastrzega sobie prawo, zgodnie z regulaminem, do obciążenia zamawiającego pełnymi kosztami udziału w konferencji.

Przygotowaliśmy dla Was ofertę zgłoszeń grupowych:

  • przy rejestracji 2-5 os. – otrzymacie 15% rabatu
  • przy rejestracji 6-10 os. – otrzymacie  25% rabatu
  • przy rejestracji pow. 10 os. – otrzymacie 30% rabatu

 

Pakiet konferencyjny obejmuje:120916676o

  • wstęp na wykłady
  • komplet materiałów konferencyjnych
  • przerwy kawowe i lunch
  • ESCAPE ROOM w pierwszym dniu konferencji
  • AFTER PARTY!

Dodatkowo podczas konferencji umożliwiamy zakup książek PWN z 20% rabatem!
W ofercie m. in. książki autorstwa Gynvaela Coldwinda:

Termin

7-8 listopada 2016, Warszawa

Cennik/kod

od 01 lipca 2016
899 PLN
netto + Vat 23%
(do zapłaty: 1105.77 PLN)
od 01 listopada 2016
1199 PLN
netto + Vat 23%
(do zapłaty: 1474.77 PLN)

Warunki zwolnienia z VAT

Tak - oświadczam, że udział w szkoleniu finansowany jest ze środków publicznych
Nie - udział w szkoleniu nie jest finansowy ze środków publicznych

Uczestnicy

Dodaj kolejnego uczestnika (Powyżej 2 osób % rabatu od wartości zamówienia)

Dane do wystawienia faktury VAT

Firma/Instytucja
Osoba fizyczna

Typ płatności

Przelew po otrzymaniu faktury PRO FORMA
Pay-U
Oświadczam, że zapoznałem się z Regulaminem serwisu i akceptuję jego treść.
Administratorem danych osobowych jest Wydawnictwo Lekarskie PZWL sp. z o. o. z siedzibą w Warszawie (02-460), ul. Gottlieba Daimlera 2 („Spółka”). Dane osobowe będą przetwarzane wyłącznie w celu realizacji organizowanej konferencji, a w przypadku wyrażenia odrębnych zgód – w celach objętych oświadczeniem. Spółka informuje, że każda osoba ma prawo dostępu do treści swoich danych i ich poprawiania. Podanie danych osobowych jest dobrowolne.
Wyrażam zgodę na otrzymywanie od Wydawnictwa Lekarskiego PZWL Sp. z o.o. z siedzibą w Warszawie (02-460), ul. Gottlieba Daimlera 2 drogą elektroniczną, w tym za pośrednictwem telekomunikacyjnych urządzeń końcowych, informacji handlowych dotyczących zwłaszcza produktów, usług, aktualnych ofert.
Wyrażam zgodę na otrzymywanie od Wydawnictwa Lekarskiego PZWL Sp. z o.o. z siedzibą w Warszawie (02-460), ul. Gottlieba Daimlera 2 połączeń telefonicznych w celu marketingu bezpośredniego.
Wyrażam zgodę na przetwarzanie podanych przeze mnie danych osobowych przez Wydawnictwo Lekarskie PZWL Sp. z o.o. z siedzibą w Warszawie (02-460), ul. Gottlieba Daimlera 2 w celu marketingu produktów i usług podmiotów powiązanych lub współpracujących ze Spółką.