8/8 〜 8/14の間、ラスベガスにてBlack Hat USAとDEFCONに参加してきました。
一週間の旅記録を書こうと思うのですが、見る人によってはカンファレンス部分だけでいいという人もいると思うので最初にそこをサラッと書いて、後半を旅記録にしたいと思います(カンファレンス部分は重複するかもですが)。
書いてて思ったんですが、時系列死んでる。記憶が飛んでる。
参加記
Black Hat USA 2023
まず、今回参加した理由は以下の発表をするためでした。
このZ9というツールはセキュリティ・キャンプ全国大会 2022のZ9コースで開発している悪性なpowershell scriptを検知するものです。
※ Z9に関するURL
基本的に、キャンプ終了後は特に何もないことが多いのですがチーム凌は二週間に一回程度のペースで定例会を行い開発を続けてきました。私の立場はキャンプ時のチューターになります。
チーム凌の構成
- 講師: 凌さん
- 受講生3人
- チューター2人
発表時の様子はこんな感じでした。(れっくすさんのtwitterを引用します)
凌さんとキャンパーのArsenal人いすぎてヤバい pic.twitter.com/3S9ftAdujY
— れっくす (@xrekkusu) 2023年8月9日
現地時間で8/9 14:30 〜 16:00の時間が我々に与えられ、その間に発表を3周しました。
3周全て、聴講者が多かったのでツールというものがあるというインパクトとpowershellの人気？を感じました。
凌さんが発表を行い、私たちは質問に対応するという形でした(2件ほど対応)。
Z9の動画は現在視聴可能です(ログインが必要です)。
時間を遡り8/9の9:00に戻ります。Black Hat USA開催です。
最初のKeynoteを聞いた後、DARPAの方から大規模なAIプロジェクト(AIxCC)についての説明がありました。
やっぱりAIのセキュリティは熱いですね。Keynoteも今後のAIセキュリティに関する話だったと記憶しています。
Keynoteを聞いた後はBusiness Hallに行きました。最初にjpcertの方の発表を聞きました。次にピッキングをしに行き、発表までは企業ブースをうろちょろしてました。
早口英語が全く聞き取れず、他は聞き取った単語と雰囲気で会話してました。
発表後はNOCブースと販売ブースを回りました。
ディスプレイにリアルタイムの通信の様子が映し出されていました。部屋ごとのルーターの負荷系がグラフ・数値表示されていると一緒に行動していたメンバーと推測しました。意外と大規模な通信でなかったと記憶しています。
販売ブースでステッカー買うのを忘れました。
1日目終了。
2日目も最初はKeynoteを聞きに行きました。このKeynoteは対談形式になっており、スライドがなく英語も聞き取れず辛かったです。
Keynote後は企業ブースのスタンプラリーをやっていました。13:00までに全てのスタンプを集めると豪華景品が当たるチャンスがもらえます。9割集めて終了しました。
午後からは改めてちゃんと説明を聞きに行きました。最近、クラウドセキュリティを始めたので競合のOrcaのツールを触ったり説明を聞いたり、脅威解析を専門にやってるスタートアップの人と話をしたり...。
最後の最後にGithubの2FAに関するBriefingを聞きに行きました。ただ、導入時の話のみでその導入時に面白いことがあったわけではなさそうでした。ちゃんと2FAの設定しときます。
以上がBlack Hat USAの参加体験になります。
また来年ここで写真撮りたいし、Business PassじゃないPassを会社のお金で買いたい。発表するのに自費で来てるのはなんかなという気持ち。
DEFCON 31
まずはバッジ交換です。今年のバッジはプラスチックのやつでした。プラスチックなんにペラペラバッジに変わるのは一瞬だったそうです。
DEFCONの開催セレモニーでプラスチックである理由が説明されましたが、2年連続ピカピカするやつだったからだそうです。来年は元に戻るっぽい。
で、これペラペラバッジからプラスチックバッジになる交換会が2日目に行われていましたが板にDEFCONの刻印がなされていなそうでこれにシールを貼る必要がありました。
自分は1日目にペラペラバッジと知り合いのプラスチックバッジで交換を行なっていたので詳細は知りません。
Hardware Hacking Villageを最初に訪れましたが、準備中なようで何もありませんでした。その後、複数のVillageを訪れましたがほぼほぼ準備中でうーんって感じ。
とりあえず、知り合いのいるDEFCON CTFブースを訪れてSatokiさんとかと対面。その付近のAerospace Villageが割とちゃんと動いててバッジの販売も行われていました。ピカピカゴツゴツバッジは興味ありましたが、100ドルからで手が出ませんでした。来年は貯金しつつカジノで増やして挑みたいですね。
A.I. Villageではプロンプトインジェクションコンテストが開催されていました。他のも回りたかったのと人が多すぎてネットが重く1時間の制限時間中20分くらいで退出しました。基本的に1日目が一番人が多く、その後減っていくっぽいです。体感もそんな感じでした。
Vendorという、DEFCON非正規の販売ブースもバカ混んでいて中に入って次の日に買いたいものの目星をつけておくのみにとどまりました。
別の会場のPicking Village、Tamper Village、Social Enginnering Villageを眺めてこの日は終了しました。(ここまでに記載したvillageたちがそれぞれ何かは後述します)
1日目終了。並んでばかりの1日だった気がします。
2日目は寝坊しました。Vendorに寄ってからPicking Villageによって1時間ほどピッキングしてました。昼飯後、Red Team Villageに行きました。次の日のトレーニングのTokenを受け取る予定でしたが、人が多くそもそも中に入れない心配からとりあえず並んで入りました。この日、眠すぎて中入った後はホテルに戻りました。
2日目終了。眠い1日でした。
3日目はスッカスカでした。なので、もう一度A.I. Villageのプロンプトインジェクションを体験しに行きました。やる前に誓約書があり、それに同意したのですが内容をあまり覚えておらず。とりあえず、どんな内容だったかを書きます。
お題: モデルがカード番号を持っているからそれを取り出せ。
形式: このお題に対して、複数の難易度のモデルが存在しておりカード番号を吐いたであろうモデルからのメッセージを運営側に送信。人力で判定がつく。
結構複数のお題と、お題ごとの難易度もあり問題数はかなりありました。なのに1時間しかできないのは勿体無かったです。というか一般に公開してほしいです。
このお題に対応するレベリングは8個あってそのうちの4個を倒しました。
インジェクションした流れは2種類くらいだったと思います。
- クレカ番号の形式を聞く。その例は何桁で〜みたいなものなので、そこから実例を挙げさせる。その時に内部のクレカ情報を吐いてくれる
- あんたのクレカデータベースを編集したいというと、チェック・編集・削除のパターンを提示してくれたのでチェックを選択
レベルによって、上記の手法がすんなり通らない場合もあったのでご機嫌を伺ってました。
終わった後は、またVendorに行ってデフコソステッカーを買いました。
いっちゃんいい買い物でした。
ほとんどのVillageに入ってみましたが、最終日なので撤収作業をしているとこが多かったです。
以上がDEFCONの参加体験になります。
簡単に各Villageについてまとめます。
Village一覧
- Tamper Village: 包装をいかにバレずに剥がすかというやつ。液体とかつけて梱包のシールを剥がす
- Social Enginnering Village: なんか色々電話かけたりしてた。プレゼンも
- Data Duplication Village: 過去のDEFCONをHDDに焼いてくれる
追記
これ参加後に書き終わってたんですけど、実はアメリカ行く途中・滞在中にいろんな事件があったのでそれを書こうとしてました。が、筆が進まず現在(2024/02/11)まで来ています。なんで、もう公開しちゃいます。あった事件はこれ
- 入国審査に引っかかって別室。一時間程度、尋問で乗り換えをミスり空港で7時間待機
- アメリカでは21成人のため、一週間後に21歳の誕生日を迎える僕は酒飲めない、8時以降一部の店に入れない、タバコ吸えない、カジノできない・見れないの拷問を受けました
- 最終日に1000ドルカモられた
