Access Everywhere: O melhor da DEF CON 33

O que é Access Everywhere?

Como Jeff Moss (The Dark Tangent), fundador da DEF CON, transmite, a essência da conferência é a alegria da descoberta—quebrar coisas, consertar coisas e entender o que a tecnologia realmente pode fazer.

A edição 33 reuniu mais de 26 mil participantes, com 107 speakers no Main Track e 220 nas villages. Tudo centrado em um tema: Access Everywhere.

Esse tema se refletiu em todos os espaços físicos e digitais da conferência, como um lema que transmite que o conhecimento é aberto para todos. Aberto em três sentidos: utilizável, acessível e privado/seguro. Diversas iniciativas foram feitas para levar o conhecimento nessas três dimensões: opções de acessibilidade foram habilitadas tanto na web quanto nas talks através de screen readers, as talks foram transmitidas pelo YouTube, materiais da conferência foram disponibilizados em quatro idiomas diferentes, e claro, pensando em privacidade e segurança, todos os sites foram habilitados com tecnologias como Tor e Veilid.

Um parêntese sobre preços

O custo dessa experiência variou de acordo com o tipo de entrada e o momento da compra. Para quem valoriza privacidade, a DEF CON manteve sua opção cash only a $500, paga na LineCon (a fila de registro) sem necessidade de fornecer informações pessoais. Também havia pré-registro online para quem queria garantir seu badge antecipadamente, com preços variando conforme a proximidade do evento: Early Bird até 23 de maio por $540, Regular até 18 de julho por $560, e Late Pricing de 19 de julho até o fechamento da pré-registro por $580.

Desbloqueando o oculto: O badge deste ano

O badge deste ano foi analógico, desenhado por Mar Williams (spuxo), com três lentes coloridas que revelavam conteúdo oculto em imagens 3D espalhadas pelo local. Criado com uma paleta de cores acessível, o badge tinha um estilo vitoriano com influências globais e indígenas. Da mesma forma, o black badge—concedido a vencedores de competições e que garante acesso vitalício à DEF CON—foi feito à mão, um por um, no quintal da criadora, fundido em bronze.

As villages: 35 mundos para explorar

Com o badge como entrada, você tem acesso a tudo na DEF CON: talks, villages, comunidades, competições e mais. Villages são espaços de imersão e aprendizado focados em áreas específicas de tecnologia e hacking. Este ano foram 35 villages, com 220 speakers e 159 talks no total. Os temas iam de game hacking a hacking de sistemas de pagamento, de red teaming a máquinas de votação, de computação quântica a sistemas embarcados. Tinha muita coisa para aprender e experimentar, mas algumas villages se destacaram:

Social Engineering Community Village

Essa tinha fila só para entrar, mas definitivamente valeu a espera. A village era um espaço fechado onde não era permitido gravar ou tirar fotos. Tudo ali, claro, girava em torno de engenharia social, ensinada através de talks e atividades práticas. Uma das atividades deste ano foi o SECVC (Social Engineering Community Vishing Competition), uma competição de vishing (voice phishing) onde os competidores pré-classificados, com meses de preparação e pesquisa sobre seus alvos, faziam ligações ao vivo para extrair informações específicas de corporações reais, com a audiência jogando perguntas completamente aleatórias que os competidores tinham que encaixar, tipo "se você fosse um talher, qual seria?"

Bug Bounty Village

Esse me surpreendeu positivamente. Pela alta demanda, também exigia esperar na fila, mas uma vez dentro você recebia (a) o badge eletrônico deles, com o qual você interagia conforme resolvia desafios, (b) moedas de desafio com mensagens codificadas ou ocultas para resolver, e (c) stickers e swag da village. Lá dentrorolaram talks sobre hacking web e mobile, research e bug bounty, além de vários desafios para fazer entre as talks e um CTF ao vivo para participar.

Physical Security Village

Essa village era absolutamente essencial de visitar e uma das mais chamativas. Só podia ser descrita como uma loucura. Tinha mini portas, cofres, todo tipo de fechadura, cadeados, sistemas de alarme e de vigilância—e te ensinavam a hackear tudo isso. Por quê? Porque a melhor forma de tornar esses sistemas mais seguros é compartilhando conhecimento de forma aberta.

As talks que definiram a DEF CON 33

Essas foram algumas das villages imperdíveis, mas e as talks?

Das 683 palestras submetidas ao Main Track, 107 foram aceitas e 71 eram de speakers de primeira viagem na DEF CON. Depois de todas avaliadas, 72,2% das talks foram classificadas como de alta qualidade em conteúdo, 53,7% foram reconhecidas como excelentes em termos das habilidades de apresentação do speaker, e 56% foram marcadas como excepcionais.

A qualidade das talks é inegavelmente excelente, e a DEF CON se tornou estado da arte em hacking e cibersegurança. Dito isso, me dando a liberdade, aqui estão as que considero as melhores talks da DEF CON 33.

HTTP/1.1 Must Die! The Desync Endgame

Essa foi o peso pesado das talks. Apresentada por James Kettle (albinowax), Research Director da PortSwigger, parte da premissa de que o HTTP/1.1 não tem um método confiável para isolar requisições quando múltiplas são enviadas em um único pacote TCP. A partir daí, ele apresenta duas novas técnicas para explorar desincronização: Zero-CL e o cabeçalho Expect.

Zero-CL, ou Zero Content-Length, é uma técnica anteriormente considerada impossível de explorar devido a um problema inerente: o servidor de frontend não reconhece o cabeçalho Content-Length, enquanto o servidor de backend o faz, então o frontend nunca envia o corpo da requisição, e o backend continua esperando por ele. James contornou isso em servidores IIS fazendo com que eles visitassem caminhos com palavras reservadas, que retornavam respostas imediatas, assim contornando a bloqueio. Ele conseguiu explorar esse comportamento com uma dupla desincronização: um ataque composto de duas requisições do atacante e uma terceira da vítima.

Por outro lado, o cabeçalho Expect, ou Expect: 100-continue, também introduz uma série de novas falhas: ao adicionar estado ao protocolo e dividir as requisições em um processo de duas partes onde os cabeçalhos são enviados primeiro, então o corpo, dois blocos de cabeçalho de resposta são criados e uma desincronização com o frontend pode ser acionada.

Com essas técnicas, James ganhou $350.000 em bounties e fechou a talk com a conclusão de que a solução é usar HTTP/2 ou HTTP/3—por isso o HTTP/1.1 deve morrer.

Kill List: Hacking an Assassination Site on the Dark Web

Essa talk prendeu a atenção da audiência desde o primeiro momento e não soltou mais. É a história de como Chris Monteiro, um pesquisador da Dark Web, encontrou um site site de assassinos de aluguel e tomou controle total dele para, junto com o jornalista Carl Miller, criar uma rede global para avisar potenciais vítimas diretamente—após tentativas iniciais frustradas de cooperar com autoridades do Reino Unido e a Interpol. Toda a operação resultou em desmascarar 175 ordens de assassinato, levando a 32 prisões, 28 condenações e 180 anos de pena de prisão. No entanto, o apelo de Carl à comunidade é um pedido de ajuda para terminar de desmascarar os casos restantes ainda pendentes de investigação, já que mais de 2.000 mensagens ou ordens foram recuperadas antes das autoridades tirarem o site do ar.

Stories from a Tor Dev

Fechando a lista, uma talk que se conecta naturalmente com a anterior: Stories from a Tor Dev, sobre a ferramenta mais associada à Dark Web—ou mais precisamente, à privacidade e anonimato: o Tor. A talk foi dada por Roger Dingledine (arma), cofundador do Projeto Tor, e focou em três temas principais através de uma série de histórias do seu tempo com o projeto: (a) relacionamento com governo e entidades governamentais, para construir aliados internos e expandir a importância da privacidade e anonimato, (b) defender a rede Tor contra ataques sofisticados, e (c) maneiras de ajudar usuários em regimes autoritários a contornar a censura. Roger transmitiu sua mensagem através de uma série de histórias interessantes e às vezes irônicas ou engraçadas, destacando a importância de ter uma comunidade global onde uma gama diversa de atores—até mesmo aliados inesperados—podem ajudar a manter a privacidade e a rede funcionando corretamente.

Por que sempre voltamos ao deserto

Com todas as talks, villages, comunidades e mais, a DEF CON também se torna uma experiência quase surreal onde a qualquer momento você pode estar caminhando ou se encontrar cara a cara com uma lenda do hacking e simplesmente ter uma conversa ou tirar uma foto com ela. Foi assim que eu pessoalmente conheci grandes figuras como o já mencionado James Kettle, Jack Rhysider, criador do podcast "Darknet Diaries", e Fabian Faessler, security researcher mais conhecido como LiveOverflow.

Todo mundo que vai à DEF CON vive uma experiência única, e a edição 33 nos lembrou por que continuamos voltando ao deserto todos anos, por que os Goons de camiseta vermelha continuam cuidando da gente sem pedir nada em troca, e por que sempre há alegria naquelas filas intermináveis. A razão é simples: a DEF CON é o coração da cultura hacker. O momento e espaço onde o conhecimento flui livremente, como um caos intenso e efêmero, mas transformador. E quando tudo termina e o Las Vegas Convention Center fica em silêncio, levamos algo que nenhuma talk consegue descrever: a certeza de que pertencemos a algo maior que nós mesmos—uma tribo espalhada pelo mundo que, por alguns dias ao ano, volta para casa.