Black Hat-beveiligingsconferentie lekte data bezoekers
Een beveiligingsonderzoeker heeft een kwetsbaarheid ontdekt waardoor het mogelijk was om gegevens te downloaden van alle 18.000 mensen die begin augustus de Black Hat-beveiligingsconferentie in Las Vegas hebben bezocht. Black Hat is één van de grootste beveiligingsconferenties ter wereld.
Bezoekers van het evenement ontvingen een badge met een NFC-tag die door leveranciers op het evenement kon worden gescand. Op deze manier kunnen leveranciers informatie over bezoekers verzamelen en hen vervolgens allerlei marketingmateriaal e-mailen. De onderzoeker, die van het alias "NinjaStyle" gebruikmaakt, ontdekte dat er verschillende gegevens op de tag stonden. Het ging onder andere om voor- en achternaam. Het e-mailadres stond echter niet in plain text op de tag. Wel bevatte de tag een link die gebruikers vroeg om de BCard-app te downloaden.
Via de programmeerinterface (API) van de BCard-app bleek het mogelijk te zijn om gegevens van conferentiebezoekers op te vragen door een badgeID en eventID te versturen. Er was hiervoor geen enkele authenticatie vereist. Via een bruteforce-aanval was het mogelijk om in 6 uur tijd alle mogelijke BadgeID's te proberen en zo gegevens van alle Black Hat-bezoekers te achterhalen. Het ging dan om namen, e-mailadressen, bedrijfsnamen, telefoonnummers en adresgegevens.
De onderzoeker probeerde het probleem op 9 augustus bij ITN International te rapporteren, de aanbieder van BCard en het tag-systeem. Dit bleek in eerste instantie lastig. Zo kon een e-mail naar security@, dat onderzoekers vaak gebruiken om kwetsbaarheden te melden, niet worden afgeleverd. Nadat er op 12 augustus contact was gelegd werd de API binnen 24 uur uitgeschakeld. Volgens ITN ging het om een legacy systeem. De onderzoeker zegt zich volgend jaar met valse gegevens te zullen registreren.
Je zou toch verwachten dat een organisatie die zich bezighoudt met veiligheid en beveiliging weten waar ze mee bezig zijn. Waarom zaken in plain text opslaan? Dat is vragen om problemen vandaag de dag....
Je zou toch verwachten dat een organisatie die zich bezighoudt met veiligheid en beveiliging weten waar ze mee bezig zijn. Waarom zaken in plain text opslaan? Dat is vragen om problemen vandaag de dag....
Je huurt de locatie en besteed de ticketing en afhandeling uit. Waarom zou die organisatie defcon dat allemaal zelf moeten doen. De aanname is dat het met het uitbesteden wel goed zal zitten, dat is de gangbare praktijk.
Niets bijzonders. De ironie is dat ze daarmee de zelfde denkfout maken als in de gangbare praktijk gebeurt.
Niets bijzonders. De ironie is dat ze daarmee de zelfde denkfout maken als in de gangbare praktijk gebeurt.
Precies. Dat is inderdaad het grote probleem tegenwoordig. Alles, maar-dan-ook-alles, wordt uitbesteed.
Zonder dat er ook maar enige garantie en/of controle is op de afgeleverde dienst of product.
DEFCON en Black Hat zijn overigens niet echt hetzelfde... ;-)
black hat: http://www.blackhat.com/
DEFCON: https://www.defcon.org/
Mijn enige excuus is dat ze vlak na elkaar op de zelfde locatie zitten
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
