Marco Ortisi Relatore

Lista Talk

• Conoscere la crittografia...rompendola! La crittografia è ovunque. E’ pervasiva. E’ trasparente. Milioni di utenti ne beneficiano quotidianamente pur non sapendolo. Dietro le quinte transazioni bancarie, scambio di messaggi privati, telefonate, siti web e persino smart app per il tracciamento dei nostri percorsi in bicicletta (per quanto apparentemente dati insignificanti) vengono protetti da un qualche protocollo, algoritmo o implementazione crittografica. Tra gli effetti più devastanti che sottintendono alla violazione delle misure di protezione basate sulla crittografia troviamo l’accesso (inclusa lettura e modifica) non autorizzato a dati, la sostituzione a fonti considerate trusted e persino l’esecuzione di comandi remoti sul sistema vulnerabile. Tra attacchi esotici ed altri più pratici, vecchi exploit ancora validi re-interpretati in chiave moderna e nuovi proof of concept, questo talk guiderà l’audience verso il meraviglioso mondo dell’hacking di alcuni tra i meccanismi di autenticazione, scambio chiavi, cifratura a blocchi e hashing più comuni. - 16:00/16:45, 27 Oct 2018
• Once upon assign()... Negli ultimi tre anni abbiamo assistito ad un'impennata di vulnerabilità critiche su soluzioni per la difesa dei sistemi personali ed aziendali, quali dispositivi che governano l'accesso alle VPN, la gestione del traffico web/mail e la sicurezza perimetrale. Spesso il denominatore comune di questi prodotti è l'utilizzo di tecnologie open source nel loro core (principalmente Linux come sistema operativo) su cui tuttavia girano componenti proprietari in C/C++ che non possono essere facilmente fuzzati (in mancanza dei sorgenti) e librerie obsolete, anche più di dieci anni. Per chi di mestiere si occupa di portare alla luce falle di sicurezza, il reverse engineering manuale è solitamente una delle poche risposte in questi casi, sebbene non l'unica. Come si procede quindi? In questo talk mostreremo un caso tipico e sintomatico di quanto grave sia la situazione legata all'utilizzo di tali dispositivi, presentando una vulnerabilità 0day che affligge un prodotto di punta del segmento security appliance. Vedremo in particolare come il mancato rispetto di alcune comuni security best practice, congiuntamente al disprezzo delle più basilari procedure di hardening, abbiano permesso di trasformare un bug normalmente non exploitable, in una vulnerabilità in grado di consentire l'esecuzione di codice remoto in modalità privilegiata sul sistema. Tutto in one-shot. - 12:15/13:00, 28 May 2022
• Chiacchiere con i Relatori Utilizziamo quest'ultima parte di evento per fare qualche domanda ai relatori - 16:45/17:15, 28 May 2022