I år reiste tre medlemmer av Netsecuritys Red Team til Las Vegas for å delta på den anerkjente Hacker Summer Camp. Anders, Tor-Erik, og John var de heldige utvalgte. Tor-Erik og John ankom først for å delta på BSides, hvor John holdt sitt første foredrag i USA, på PasswordCon-sporet, om sårbarheter i fysiske adgangskontroller. Tor-Erik var med som støtte. Anders fulgte etter, og sammen deltok de på Defcon.

BSides er en mindre konferanse sammenlignet med Defcon, med rundt 3000 deltakere og et kompakt og tilgjengelig område på Tuscany Suites & Casino. Dette er en verdensklassekonferanse som ofte overses av mange. I år var det imidlertid overraskende mange nordmenn til stede, noe som kan tyde på at konferansen er i ferd med å bli mer anerkjent.

Defcon er en konferanse i en helt egen liga, med en atmosfære og et miljø som er unikt. Årets deltakelse skal visstnok ha nådd opp mot 50 000 personer, selv om offisielle tall ikke er bekreftet. Defcon er kjent for sitt mangfold, hvor alle uansett alder og identitet er velkomne og ingen dømmer.

I år ble Defcon for første gang holdt på Las Vegas Convention Center (LVCC). Dette var også første gang på flere år at hele Defcon ble samlet under ett tak. LVCC er omtrent 85 ganger større enn Oslo Spektrum, noe som gjorde det betydelig enklere å navigere mellom foredrag, villages, workshops og utstillerområder.

En av de mest verdifulle aspektene ved Defcon er at "alle" er der. Det er en møteplass for gamle kjente, nye bekjentskaper, og noen av de mest kjente personene innen cybersikkerhet. Vi hadde blant annet gleden av å møte John Hammond på Red Team Villages fest, og Jack Rhysider på hans Darknet Diaries-fest, hvor forkledning var påkrevd. Noen av oss besøkte Red Team Alliances lokasjon i Las Vegas, mens andre deltok på en samling arrangert av Microsoft Security Response Center (MSRC), hvor vi knyttet nye kontakter. Vi fikk også et glimt av Ed Skoudis, en viktig person bak mange av våre fritidsaktiviteter i desember, selv om vi dessverre ikke fikk anledning til å snakke med ham.

I slike sammenhenger blir konkurrenter mer enn bare konkurrenter; de blir venner og likesinnede man kan ha uformelle diskusjoner med. Dette er en uvurderlig opplevelse som styrker relasjonene både innen det norske og det internasjonale sikkerhetsmiljøet.

John bidro også som frivillig på Red Team Village, en av de mest populære delene av Defcon. Dette ga ham en unik mulighet til å bli bedre kjent med miljøet og til å gi noe tilbake. Når man først har fått en fot innenfor, åpner det seg flere muligheter ved fremtidige arrangementer, både for å bidra med hjelp og for å være med på å videreutvikle Red Team Village.

For Anders og Tor-Erik, som deltok på Defcon for første gang, var konferansen overveldende. Med et enormt utvalg av villages, foredrag, stands og utstillerområder følte de seg som barn i en godtebutikk. Villages er samlingsområder for ulike sikkerhetsgrener, og her fant vi alt fra hardware hacking til biohacking, AI, web-sikkerhet, offensiv og defensiv sikkerhet, og bug bounty. Mellom foredragene vandret vi rundt i villages, snakket med folk, og sugde til oss inspirasjon. Vendor-området på Defcon er et unikt shoppingområde, spesielt for de som jobber med offensiv sikkerhet, med alt fra dirkeutstyr og radioutstyr til keyloggere og interessante bøker fra No Starch Press.

Når det gjelder foredrag, er det få steder man finner så mye interessant som på BSides og spesielt Defcon.

På BSides deltok vi på foredrag om blant annet bruk av ePaper som falske ID-kort, utfordringer med nasjonale tegn som æ, ø og å i IT-systemer, og et nytt verktøy for kommunikasjon med serieport for enklere hardware hacking. Vi lærte også om utnyttelse av rettigheter og regelsett i skytjenester for pentesting, og om kostnadseffektiv automatisering av skytjenester.

Defcon bød på et enormt spekter av foredrag, inkludert sårbarheter i IT- og OT-systemer brukt i landbruk, innovative angrep på RFID-baserte adgangskontrollsystemer, omgåelse av fysiske sikkerhetsmekanismer, risikoer knyttet til påvirkning av læringsmodeller i LLMs, og alternative måter å skaffe NTLM-hash på. Et annet høydepunkt var Gareth Heyes fra PortSwiggers presentasjon om parsing av e-postadresser, hvor han viste hvordan standarder og forskjellige bibliotekers implementasjoner kan utnyttes for å omgå tilgangskontroll basert på e-postdomener.

Et annet foredrag, "Securing the Harvest: Cyber Defence for Agricultural Control Systems," belyste et ofte oversett område innen kritisk infrastruktur. Ray Baeza forklarte hvordan jordbruk, som er essensielt for matproduksjon og økonomien, ofte har begrensede ressurser til IT-sikkerhet. Han beskrev hvordan sårbare systemer, som lokale drivstoffstasjoner, er kritiske under innhøstingssesongen, særlig for å sikre tilgjengeligheten av drivstoff til traktorer og skurtreskere.

Til tross for at mange av foredragene blir tilgjengelige på YouTube-kanalene til konferansene, er det mange mindre foredrag i de ulike villages som ikke filmes. Den eneste måten å få med seg disse på, er å være til stede på konferansene.

Hacker Summer Camp, med BSides LV og Defcon, viser seg nok en gang å være den ultimate møteplassen for alle som jobber med sikkerhet, spesielt innen offensiv sikkerhet.

Nå ser vi frem til neste august, og håper vi får muligheten til å delta igjen på verdens viktigste møteplass for penetrasjonstestere, hendelseshåndterere, utviklere, og andre som jobber med sikkerhet, både teknisk og organisatorisk.

Vi takker Netsecurity for muligheten til å delta på årets konferanser og håper på å returnere neste år, hvor vi alle ser etter muligheter for å bidra på forskjellige måter.

We'll be back!

Anders Rosdahl, Tor-Erik Thorjussen og John-André Bjørkhaug