IT-säkerhetskonferenser 2022

Inledning

Efter två års uppehåll p.g.a. pandemi kickade konferenserna igång igen under 2022. En gång i tiden kunde de här konferenserna te sig lite som i bilden ovan. Eftersom jag upplever att en hel del har förändrats tänkte jag summera konferensåret 2022 och dela med mig lite av mina intryck och de trender som jag tycker mig se.

Innan jag beskriver mina intryck från dessa konferenser är det lämpligt att deklarera vad jag vill ha ut av en konferens. Alla tycker och tänker inte som jag så det är bra att ha med sig mina preferenser för att förstå varför jag tycker som jag gör om respektive event.

Vad vill jag ha ut av en konferens ?

Varför åker jag ens på en konferens? Allt finns väl ändå på youtube? Förvisso är väl detta i princip sant. Ur ett rent praktiskt perspektiv skulle jag säkerligen kunna tillgodogöra mig mer information både billigare och snabbare genom att stanna hemma.

I en bransch där man tillbringar stor tid inne i sitt eget huvud under hög koncentration är det befriande att uppleva saker tillsammans med andra. Då ska det väl tilläggas att jag sannerligen inte är den mest kontaktsökande personen som minglar i timmar på dessa konferenser, tyvärr. Men ändå, det är trevligt att komma ut och ha chansen att träffa andra i branchen.

Utöver det är det ju roligt att bli underhållen och få spännande historier från verkligheten presenterade av de som var med. Det är väl ungefär det jag söker. Att ha en rolig stund tillsammans med mina kollegor samtidigt som man gör nya bekantskaper och blir underhållen av intressanta talare som presenterar djupa tekniska nyheter.

Security Fest 2022

När och var

Security Fest gick av stapeln i Eriksbergshallen i Göteborg den 2-3 juni. Det här var första gången jag besökte detta evenemang så jag är osäker på om konferensen alltid hålls på den här platsen.

För mig och mina kollegor i mälardalen innebar detta nära 5 timmar på SJ:s fantastiska Regionaltåg och därefter 20 minuters taxi för att komma till Quality hotel 11 som ligger i direkt anslutning till konferenslokalerna. Enkelt och smidigt och inte mycket att klaga på förutom att benutrymmet i 1:a klass på SJ:s regionaltåg är ett skämt av oanade mått.

Lokalerna som sådana fyller sin funktion och särskilt trevligt tycker jag det var att matsalen tar så mycket folk att alla konferensens deltagare kan äta gemensam lunch och middag.

Pris och innehåll

En biljett till evenemanget kostade 2800:-. För oss som kommer från Mälardalen tillkommer då 2 hotellnätter a ca 1300:- och tågbiljetter a ca 1150:-, samt lite taxi och kringkostnader. En totalkostnad per person på ca 7500:- plus två dagars avsatt tid, någonstans där landar slutnotan. I detta ingår då mat vilket kanske är en förutsättning med tanke på hur långt ifrån centrum lokalerna ligger.

Följande schema gällde för konferensen:

DAG 1

• 08:30 Registration & Venue Opening, Breakfast Sandwich
• 09:00 Hello & Welcome
• 09:20 Keynote, Jayson E. Street
• 10:20 Eyes into an active AO during a war, Dan Tentler
• 11:20 10 macOS persistence techniques, Csaba Fitzl
• 12:30 Lunch
• 13:30 Hacking JavaScript Desktop apps with XSS and RCE ,Abraham Aranguren
• 14:30 How I got remote root shell on a Helium crypto miner, Mikael Falkvidd
• 15:45 Coffee break 15:20 Pwned in Space, Paul P Coggin
• 16:45 How to write a BANGER blogpost! (Hacking the Google algorithm), Fredrik “STÖK” Alexandersson
• Dinner, drinks and awards 18:00
• Party! 21:00

DAG 2

• 08:30 Venue Opening, Breakfast Sandwich
• 09:00 “I know what your ‘Microsoft Mainframe’ did last summer!..” - HacKtive Directory Forensics Yossi Sassi
• 10:15 Exploitation and automated detection of threats to modern cloud infrastructure Maithri Nadig, Krishnaa Srinivasa
• 11:30 Do you trust your package manager? Rotem Bar
• 12:30 Lunch
• 13:30 Hacking Network APIs Dan Nagle
• 16:00 Wrong answers only Panel Q&A, #securityfestpanel 15:15 CTF awards
• 16:15 - 17:00 Wrap-Up, Conference Ends

Mina intryck

Det var som sagt första gången jag besökte Security Fest. Jag blev glatt överraskad av att man fick en elektronisk badge. Det kan ses som en helt ointressant detalj för många men jag tycker ändå detta är lite kul. Jag lödde inte ihop min badge förän vid hemkomst. Jag fick tigga lite instruktioner vi LinkedIn och genast så blev man Rickrolled. Kul. Jättekul.

Det jag saknade i lokalerna var platser där man kunde sätta sig och prata lite eller hacka på CTF:en i lugn och ro. Vi valde under stundom att gå tillbaka till hotellet för att dricka några öl och köra lite CTF. Det hade såklart varit roligare att kunna vara kvar i lokalen.

Man brände alltså av Jayson E. Street direkt som keynote. Han var ju onekligen i en klass för sig och mycket underhållande. För mig var han den stora behållningen från detta event och kanske sattes ribban lite högt där.

I det stora hela var det här en mycket trevlig konferens. I mitt tycke kanske den som var mest social av alla de jag besökte detta år. Kanske är det de trevliga Göteborgarna som sätter tonen eller så var det bristen på sittplatser där man kunde gömma sig? ;) Jag upplevde åtminstone den här konferensen som lite av en branschfest och det är ju aldrig fel.

Jag kommer definitivt tillbaka nästa år!

BSides LV

Var och när ?

BSides Las Vegas gick av stapeln på Tuscany Suites and Casino i Las Vegas den 9-10 augusti. Det här var andra gången jag besökte detta evenemang. Att ta sig till Las Vegas från mälardalen är ett litet projekt i sig.

Först bil till Arlanda vilket tar ca en timme. Lite skönt köande i 1-2 timmar. Väntan och så ett plan till London. I London vidtog väntan. Ny säkerhetskontroll. Väntan. Och så den underbara flygresan på ca 11 timmar från London till Vegas.

US immigration hade bantat ned personalstyrkan till ett minimum och köande för att få komma in i landet vidtog. Långt köade. Köande så att man blev riktigt riktigt trött på att köa.

Väl framme uppstod viss förvirring vid incheckning eftersom samtliga rum var bokade i undertecknads namn. När det väl var utrett välkomnades man av de enorma rummen på Tuscany Suits and Casino. Klart större än min första lägenhet.

Föreläsningssalarna är till stor del är väldigt små rum. Man måste vara ute i god tid för att vara säker på att få plats och man bör ej heller vara så svensk i kön.

I år hade man kryddat det hela med att ställa in gigantiska kylaggregat i precis varenda rum. Jag förmodar att hotellets klimatanläggning var trasig?

I övrigt finns gott om plats att sitta ner med sin dator och sina kollegor. Alternativt kan man hänga vid poolen eller ta en öl vid något av borden som finns placerade runt poolområdet.

Hela anläggningen är väldigt avslappnad och då Casinodelen är ganska liten slipper man lite av det hysteriska som resten av Vegas har att erbjuda.

I anläggningen finns också den mycket trevliga pubben Pub 365 med ett enormt ölutbud och väldigt välgjord pubmat.

Pris och innehåll

Konferensen kostar ca 1200:- och de väl tilltagna hotellrummen ca 3200- för 3 nätter. Flyg i ekonomiklass ca 12.000:- och parkering på Arlanda ca 1000:- Totalkostnaden detta event blir ca 17500:- och avsatt tid inkl resa blir ca 4 dagar. Detta är dock inte helt rättvisande då de alra flesta åker på BSides och Defcon på samma resa. Men säg att BSides kostar 4500:- extra om man ändå ska på Defcon.

Så här såg schemat ut för konferensen:

DAG 1

• 7:30 Registration open
• 8:30 Middle Ground opens
• 9:15-10:25 Opening remarks and Keynote in Breaking Ground
• 10:30-12:30 Talks
• 12:30-14:00 Lunch break
• 14:00-15:55 Talks
• 16:00-16:55 Happy hour Sponsored by LastPass
• 17:00-19:00 Talks
• 21:00-1:00 Karaoke by the pool

DAG 2

• 8:00 Registration opens
• 8:30 Middle Ground opens
• 9:30-10:25 Keynote in Breaking Ground
• 10:30-12:30 Talks
• 12:30-14:00 Lunch break
• 14:00-15:55 Talks
• 16:00-16:55 Happy hour Sponsored by Attack Surface Community
• 17:00-19:00 Talks
• 19:00 Closing ceremonies in Breaking Ground
• 22:00-2:00 Pool Party

Konferensen är indelade i ett antal “grounds” vilket innebär att flera föreläsningar pågår samtidigt och man måste välja vad det är man vill se. Följande var aktiva detta år:

• Breaking Ground
• Common ground
• Ground floor
• Training ground
• Hire groud
• Underground
• PasswordsCon
• Ground truth
• Proving ground

Eftersom det pågår föreläsningar parallellt blir det en enorm mängd. För många för att lista alla här.

Mina intryck

BSides är en avslappnad konferens en bit bortanför “Las Vegas Strip”. Det betyder att prisläget är aningen lägre. Med en svag krona kontra dollarn och en skenande inflation har dock priserna även här börjat skena. Jag återkommer dock till detta i mina intryck från Defcon.

Tyvärr får man ingen elektronisk badge på den här konferensen. Istället är det en liten spelmark som man får ha hängande runt halsen. Så såg det ut även förra gången jag var här så jag förmodar att det är någon form av tradition.

Vad gäller föreläsningar kunde jag efter ett antal försök konstatera att jag inte lyckades hitta något som fångade min uppmärksamhet. Efter ett antal sövande föreläsningar ägnades istället tiden åt att köra Hack The Box runt ett bord i Common Ground. Inte helt fel det heller.

Att man hade ställt ut gigantiska kylaggregat i vartenda rum bidrog ju till att göra varje föreläsning till en pina. För mig som har lätt tinitus så blir det extra jobbigt att höra vad en italienare försöker framföra på lite knackig engelska. Riktigt riktigt irriterande faktiskt även om jag förmodar att det var någon form av nödåtgärd.

Hela konferensen avslutas med ett poolparty. Även detta kändes mer än lovligt avslaget detta år. Väldigt generöst att det var gratis öl och drinkar men den outhärdliga musiken nötte ner mig ganska snabbt.

BSides är en slider in till Defcon konferensen. En bra uppstart och ett sätt att bli av med den värsta jetlagen innan allvaret på Defcon börjar. Men årets upplaga vara synnerligen slätstruken och intetsägande.

Förmodligen tar jag en paus från BSidesLV under 2023.

Defcon 30

Var, när och hur?

Defcon kördes 11-14 augusti. Den här gången användes det helt nybyggda konferenscentret Caesars Forum som huvudsite för konferensen. Här genomfördes alla föreläsningar i stora och fräscha rum som sväljer enorma mängder åskådare.

Eftersom vi körde BSides som förkonferens krävdes endast en kortare förflyttning från Tuscany Suites and Casino till Linq Hotel vilket genomfördes med en Uber.

Linq är sammankopplat med konferensanläggningen genom en stor luftbro över vägen. Hotellet känns nytt och fräscht jämfört med många rätt slitna hotellkomplex i staden.

Utöver detta sprids olika delar av konferensen ut över olika hotell i Las Vegas. Det är trots allt 35000 deltagare som ska få plats och enorma ytor krävs för att göra detta möjligt.

Att få en uber till Linq hotel visade sig dock vara ett problem. De hade en speciel infart för Uber under huset. Som bekant fungerar GPS sådär under 100 tals ton med betong. Vet inte riktigt hur de tänkte där? Eller så är ägaren av hotellet även ägare av en taxi firma. Vad vet jag.

Pris och innehåll

Defcon är nu uppe i $300 (3200:-). Det ar sakta gått upp i pris för varje år. För detta får man som traditionen kräver en elektronisk badge som även innehåller en utmaning att försöka lösa under konferensen. Linq hotel kostar $399 (4200:-) för 3 nätter i ett rimligt rum. Och flyg + parkering är som nämndes tidigare ca 13000:- Detta ger en totalkostnad på ca 20500:- och 5 avsatta dagar.

Vad gäller priser så har Vegas blivit dyrt. Helt vansinnigt dyrt. När man kan få betala 350:- för en frukost eller en 250:- för en öl då har det spårat ur en aning. Visst det var de värsta exemplen men med dricks och allt snittar nog en måltid på en 500:- I klass med Norge.

Den här konferensen innehåller så många föreläsningar, workshops, villages, m.m. att det inte är meningsfullt att lista dem här. Värt att notera är att föreläsningarna pågår parallellt i två dagar från 10:00 till 20:00:

• Track 1
• Track 2
• Track 3
• Track 4

Vad jag har förstått finns ingen direkt inriktning på de olika spåren utan föreläsningsalarna varierar lite i storlek och det är nog uppskattat intresse för en viss föreläsare som bestämmer vem som kör var.

Utöver vaniga föreläsningar finns:

• workshops
• trainings
• villages
• demolabs
• parties
• etc

Det råder sannerligen ingen brist på saker att göra. Det är väl snarare så att det blir svårt att välja mellan varven. För den som är intresserad av att kika närmare på schemat ta en titt här

Årets badge var som vanligt en elektronisk variant med lite roliga inbyggda gåtor som ska lösas. Som vanligt kan jag tycka att svårighetsgraden är en aning över medel… ;)

Mina intryck

Mitt första Defcon var 2016. Det här var mitt 4:e Defcon på plats i Las Vegas. Det som en gång var en ganska underground företeelse för hackers har blivit ett gigantiskt kommersiellt event och stora förändringar har skett även från 2016.

Det finns ju massor med fantastiska storys från de gamla dagarna om folk som poppar 0-days i sina föreläsningar och sedan flyr scenen jagade a feds. Man kan väl lugnt säga att så går det inte till längre. Det ligger väl i sakens natur då pengar idag dominerar marknaden för sårbarheter.

Just den rent olagliga delen av detta är väl inte så mycket att sörja men jag måste säga att udden för den här konferensen helt har försvunnit. Möjligtvis var 2022 ett mellanår, jag vet inte. Jag hittade åtminstone inte en enda föreläsning som kittlade.

Det var alldeles för många proffsföreläsare som maniskt rabblade detaljerna om sin exploit som de sålt till Microsoft för massor med dollar och som är patchad sedan två år tillbaka. Det blir ju helt ointressant när det inte innehåller något nytt tekniskt banbrytande.

Var är alla föreläsare som letar efter dolda funktioner i cpu:er? De som skrivit en egen compiler för ROP-chains, de som kartlagt och analyserat all iphone trafik som kommer ut ur en TOR-nod, var var ni?

Ska man säga något positivt om konferensen så har kvinnor kontra män utjämnats en hel del sedan mitt första besök på Defcon. Jag tror att konferensen och även branschen i sin helhet mår mycket bra av detta. Som ni kan se ovan har denna utjämning tyvärr inte nått vårt lilla team ännu.

Men i det stora hela har det här blivit ett jippo snarare än en intressant konferens. Det är åtminstone mina intryck efter 2022. Väldigt ointressanta föreläsningar vilket gör att jag åtminstone står över 2023 och håller den under bevakning för eventuella framtida besök.

SEC-T 0x0EXPAND

Var, när och hur?

SEC-T gick av stapeln 15-16:e september med en liten tjuvstart kvällen innan. Konferensen hålls på Munchenbryggeriet i Stockholm. Man promenerar enkelt från centralstationen på 20-30 minuter vilket gör det hela väldigt lättillgängligt för de allra flesta och i synnerhet för oss boende i mälardalen.

Jag har ca 40 minuters tågresa till Stockholm, men med tanke på den sena kvällen dag 1 är det rimligt att övernatta. Hotell finns det gott om i närheten och jag valde det officiella SEC-T hotellet Rival som ligger vid Mariatorget 10 minuters promenad från konferensen.

Pris och innehåll

Entré till SEC-T kostar 2800:- Då ingår lunch två dagar och en enklare middag samt drinkbiljetter. En tågresa till Stockholm t.o.r. från Sveriges närmaste stad brakar loss på 370:- och ett hotellrum i huvudstaden ca 2600:- En totalkostnad på ca 6000:- samt två dagar avsatt tid.

Community Night

• 17.00 Doors open
• 18.15 – 18.30 Welcome talk
• 18.30 – 19.00 Tal Lossos & Eran Shimony “Colorful Vulnerabilities – How changing the colors of your keyboard might lead to privilege escalation”
• 19.20 – 19.50 Romaric Duvignau, “I See What You’re Watching on SVT Play: Fast Identification of DASH Encrypted Network Traces”
• 20.10 – 20.40 Paul Coggin, “Pwned in Space (updated)”
• 21.00 – 22.00 Christoffer Jerkeby & Anton Linné, “JavaScript Prototype Poisoning, an unexplored bug-class, and it’s everywhere”
• 23.00 Doors close

DAG 1

• 8.30 – 9.00 Registration & breakfast
• 9.00 – 9.30 Welcome talk
• 9.30 – 10.00 Trammell Hudson, “Hacking your dishwasher, or cloudless Home Connect appliances”
• 10.00 – 11.00 Coffee break
• 11.00 – 12.00 Nicklas Keijser & Mattias Wåhlén, “Russian Cyber Warfare in Ukraine”
• 12.00 – 13.00 Lunch
• 13.00 – 14.00 Jonathan Leitschuh, “Scaling the Security Researcher to Eliminate OSS Vulnerabilities Once and For All”
• 14.00 – 14.30 Coffee break
• 14.30 – 15.00 Eric Michaud & Tom Smith, “Crypto Vuln Cornucopia – From the archives of Team Kairos – Enhanced Edition”
• 15.00 – 15.15 Short break
• 15.15 – 15.45 Lucas Lundgren, “Four Horsemen of Cyberwarfare: 4) Pestilence – A Informational Vulnerability Turned into a Weapon of Mass Destruction.”
• 15.45 – 16.00 Short break
• 16.00 – 17.00 Edwin van Andel, “Popopizza – How to break the Dutch police bodycams for fun and pizza”
• 17.00 – 17.30 Mingle break
• 17.30 – 19.00 Lightning talks

1. Olle Segerdahl Why you don’t need a Red Team test
2. Alve Björk SEC-T Badge 2018 solution
3. Mikhail Shcherbakov CodeQL in the hands of Bug Hunters
4. Tomas Rzepka I C(M) what you got there
5. Skjortan “I will not buy this attendee list, it is scratched”
6. Klondike Let’s fix the missing step in the academy to industry job pipeline
7. TBD

• 18.00 – 20.00 Dinner Have some dinner wraps with the lightning talks.
• 19.30 – 01.00 Club SEC-T Our annual party is free and open for non-ticket holders as well so invite your friends! Read more

DAG 2

• 09.00 – 10.00 Martin Herfurt, “Project TEMPA – Demystifying Tesla’s Bluetooth Passive Entry System “
• 10.00 – 10.15 Short break
• 10.15 – 11.15 Joseph Katsioloudes, “Secure your code like NASA with Security as Code (SaC)”
• 11.15 – 11.30 Coffee break
• 11.30 – 12.00 Yossi Sassi, “When SysAdmin and Hacker unite: 21 One-Liners to make you convert from bash to Powershell”
• 12.00 – 13.00 Lunch
• 13.00 – 14.00 Anastasios Pingios, “Nation-state actors… No, it’s not all about phishing”
• 14.00 – 14.15 Short break
• 14.15 – 15.15 Richard Johnson, “eBPF ELFs JMPing Through the Windows”
• 15.15 – 15.45 Coffee break
• 15.45 – 16.45 Mikko Hyppönen, “Thinking About The Unthinkable – Closing Keynote
• 16.45 – 17.00 Wrap up talk, Credits all around, prices for the deserving.

Som ni kan se hela 2 dagar + Community Night späckade med föreläsningar. Tyvärr hade jag inte möjlighet att deltaga på Community Night som går av stapeln kvällen innan själva huvudkonferensen.

Mina intryck

Det här var mitt 3:e SEC-T och de har verkligen lyckats behålla kvaliteten från år till år. Om jag förstod det hela rätt så var det nytt rekord med 1250 deltagare i år. Jag blev aningen tveksam när jag såg hur mycket folk det hade samlats i den enda föreläsningssalen för Welcome Talk. Men stora ytor hade öppnats upp och på våning 7 fanns massor med plats för förtäring och att sitta lite mer bekvämt. Dessutom streamades varje föreläsning runtom i lokalerna på stora skärmar. MYCKET bra.

Föreläsningarna i sig höll en bra nivå till största del. Faktum är att jag fick mer ut av det här än något jag lyckades se på Defcon i år!!! Edwin van Andel är en mycket underhållande figur och den stora behållningen, ja och självklart Mikko Hyppönens mycket intressanta föreläsning.

Badgen är ett vanligt plastkort och innehöll en liten challenge. Någon form av morsekod verkade det vara men inget som vi lade ner allt för mycket tid på denna gång.

Vi fick också med oss en fin polaroid från Club SEC-T. Tack för detta du okända fotograf.

Quiz och Club SEC-T börjar ju bli något av en klassiker. Visst quizet är galet svårt för mig som inte spelat ett datorspel på 15 år, men lite kul ändå. Club SEC-T verkar alltid innehålla en ansenlig mängd chip-musik. Jag förstår att inte alla uppskattar detta men för mig som är sprungen ur demoscenen är det lite extra krydda.

Nu ägnades kvällen åt några öl och ett hårt Jenga-mästerskap kollegor emellan, allt akompanjerat av en liten chipmusikonsert på nedervåningen. Så resten av konferensen försvann lite ur mitt medvetande men jag har haft sämre kvällar. :)

Årets CTF var kanske inte designad för att köra med vänsterhanden under 1,5 dag på en konferens så den gav vi upp väldigt snabbt. Jag saknade föra årets suveräna CTF av polisen, å andra sidan går det inte att kombinera CTF med social verksamhet så det kanske är lika bra.

Som ni hör finns egentligen inte mycket att klaga på. Det här är den bästa IT-säkerhetskonferensen i Sverige och den som faktiskt gav mig mest sett till investerade pengar och nedlagd tid.

Relevanta myndigheter och företag i Sverige finns på plats. Bekanta ansikten från branschen. Man träffar alltid gamla kollegor som man kan få en liten catch up stund med. Det ligger väl i sakens natur när det är så nära hemmabasen men en ack så viktig del av detta.

Jag kommer självklart tillbaka 2023.

Summering av konferensåret

Till sist tänkte jag ge en total summering av de trender jag tycker mig kunna se givet de 4 konferenser jag besökte under 2022.

Det man slås av mest är att det är mer tjejer på konferenserna. En klart positiv trend i en bransch som varit totalt mansdominerad lite för länge. Jag vill nog tycka att trenden var ännu tydligare bland de yngre deltagarna och än mer i USA än här hemma i Sverige.

Något annat jag lagt märke till är att nördfaktorn minskar. Man snappar upp diskussioner runt matborden och i korridorer och det är klart mer folk som kanske inte är så tekniskt bevandrade på dessa konferenser än det varit tidigare. Vad det beror på har jag en egen teori om som är lite för komplicerad för att avhandla här.

Detta är väl både positivt och negativt vill jag påstå. Positivt att branschen fylls på med mer folk med nya perspektiv. Men det som oroar mig är att den tekniska delen av branschen inte växer i samma utsträckning som det övriga. Det är åtminstone min åsikt.

Kontentan om man summerar alla konferenserna blir att Defcon har tappat sin dragningskraft och blivit väldigt bred istället för djup. Det återstår att se huruvida detta var något tillfälligt eller om det kommer att se ut så här framöver. Jag kommer att stå över såväl Defcon som BSides LV 2023. SEC-T och Security Fest är prisvärda och trevliga tillställningar som jag avser besöka även 2023.

Jag får helt enkelt ge mig ut på jakt efter nya konferenser som håller en annan teknisk nivå. Jag funderar starkt på Offensive Con som går av stapeln i Berlin. Men har ni några tips på konferenser där nördfaktorn fortfarande överväger managementsnacket i korridorerna och där det pratas mer bits and bytes än due dilligence så tveka inte på att komma med tips.

Det var allt för mig. Det återstår att se på vilken konferens vi stöter på varandra under 2023.

/f1rstr3am