DEF CON 34: de los videojuegos al hardware y los autos, el llamado hacker a recuperar el control de la tecnología
El tema de la conferencia es "Agency": qué significa y cómo se pudo ver en acción en las Villages. Vehículos, dispositivos IoT, hardware y el propio badge, en testimonios de hackers.
Dark News es un resumen semanal de noticias de ciberseguridad, privacidad y hacking. Los temas están producidos y seleccionados por Juan Brodersen según estos criterios de edición.
🎲 Envío desde Las Vegas 🎲
8
ago
⚡TL;DR
La edición 34 de DEF CON arrancó con un tópico fuerte: recuperar el control de la tecnología que usamos día a día. El “tema” de este año es el concepto anglosajón agency, de difícil traducción al español, sobre todo porque suena al término súper marketinero de la IA “agencia/agéntico” que ya suena a disco rayado.
¿Qué es, entonces?
Así lo explicó Jeff Moss (The Dark Tangent), fundador de la conferencia, en el librito que entregan todos los años, que no suele estar online, al menos antes de la conferencia:
El tema de este año es agency. El concepto, en todas sus formas (filosófica, social, legal, empresarial), tiene en el centro la idea de actuar de manera independiente, tomar decisiones propias e incidir en los resultados. En tiempos frenéticos y caóticos es normal sentir que las cosas están fuera de control o que son demasiado grandes como para poder tener injerencia.
En términos prácticos, esto implica:
Tener agency sobre tus datos creando copias de seguridad locales, desde documentos importantes hasta tu preciada “pr0n collection” [sic], te da un camino para recuperarte ante el peor escenario. Tener agency sobre tu teléfono implica practicar cómo recuperarte si se rompe o te lo roban.
Y también apuntó a algo que, desde hace dos DEF CON, se viene trabajando mucho: salir de la enshittification de las plataformas que bloquean el acceso o el control de las cuentas para encerrarnos en “jardines cerrados”:
Cuando elijas dónde y cómo participar, elegí opciones que respeten e incluso amplíen tu agency: sitios y proyectos que te permitan hacer copias o mover tus perfiles con costos mínimos, moderar tus interacciones, reportar abusos y contar con mensajería privada cifrada de extremo a extremo.
Con esta idea me fui el primer día a recorrer villages. Invertí la estrategia de cobertura, porque en general las dejo para el último día. Pero esta vez, con esta idea de la “agencia” (y por temas de calendario de charlas a las que quiero ir para reportar), me pareció mejor arrancar por las comunidades. ¿Qué están rompiendo, qué están reverseando y qué tipo de “agency” están planteando?
Desde ya, por la enorme cantidad de Villages que tiene DEF CON, es imposible hacer un reportaje con todo. Esto es una selección arbitraria de aquellas que me parecieron representativas de la temática de este año.
Un dato de color. Mientras estaba recorriendo las Villages me encontré con Nicholas Carlini, Research Scientist de Anthropic que dio una entrevista cuando fue todo el problema de la compañía y sus modelos con el Congreso de EE.UU. Le pedí una entrevista pero, lógicamente, no puede hablar on the record sin autorización. Charlamos una media hora sobre el estado actual de la IA y los famosos peligros que represtenan estos modelos para la seguridad de los sistemas.
Quizás este tipo de cosas sean lo mejor de DEF CON. Toparse con la comunidad, donde no importa tanto el título que hace de prólogo al nombre, sino el interés que se tiene por entender cómo funciona la tecnología que nos rodea.
Espacio publicitario
⏰ Substack dice que leer este correo completo lleva 13 minutos
Dark News #217
Game Hacking Village: ¿somos dueños de los juegos que compramos?
La primera parada fue la Game Hacking Village, una comunidad que nació hace tres años y que este año ocupa un espacio bastante grande dentro de DEF CON. Su fundador, Julian Dunning, de San Francisco, me explicó que la idea es usar los videojuegos como puerta de entrada para aprender seguridad: hay modding, ingeniería inversa y unos 15 juegos creados especialmente para un CTF en el que hay que modificar o romper distintas partes para sumar puntos.
“Hay muchos componentes diferentes en el game hacking. Uno de los mayores malentendidos es pensar que somos la village de hacer trampa en los juegos. La idea pasa por aprender seguridad a través de los videojuegos”, explicó Dunning.
Entre las actividades había una versión modificada de Super Smash Bros. para experimentar y competencias alrededor de mecanismos de protección que están diseñados precisamente para impedir que los jugadores alteren los juegos. A fin de cuentas, es una de las raíces del hacking: el warez.
También hubo un CTF con Riot Games, que llevó una versión “ultra hard” de Vanguard, su sistema anti-cheat que funciona a nivel kernel, para desafiar a los participantes a encontrar una forma de vulnerarlo.
Comentario aparte para TASBot, el robot que speedrunnea juegos, famoso en la conferencia Games Done Quick, que tenía un soporte (cosmético) con forma de R.O.B., aquel curioso proyecto de Nintendo a mediados de los 80:
La discusión sobre cuánto control conserva una persona sobre un videojuego que compró viene ganando peso. Sony anunció en julio que a partir de enero de 2028 dejará de producir discos físicos para los juegos nuevos de PlayStation: las nuevas publicaciones serán digitales, aunque los discos de títulos anteriores seguirán funcionando.
En paralelo creció Stop Killing Games, una campaña que reclama que los videojuegos puedan seguir funcionando cuando sus fabricantes deciden terminar el soporte. Su iniciativa europea, Stop Destroying Videogames, consiguió más de 1,29 millones de firmas verificadas y llegó este año hasta la Comisión Europea.
Le consulté a Dunning cómo encajaba esa discusión con el tema de agency elegido para esta DEF CON. Su respuesta marcó una tensión interesante entre propiedad y los costos de mantener un juego online:
“Es una conversación complicada. Está todo el tema de Stop Killing Games y creo que tienen razón cuando plantean que, si compraste algo, deberías tener algún grado de propiedad sobre eso. Al mismo tiempo, es difícil hablar de propiedad total cuando mantener ese producto tiene un costo: si la compañía tiene que sostener servidores y gastar dinero para que funcionen, es una situación diferente. Creo que, cuando una empresa decide dejar de darle soporte a un juego, debería permitir que la comunidad siga adelante con él. Ahí está para mí la gran diferencia: cuando ellos deciden abandonarlo, que dejen que la comunidad se haga cargo”.
IoT: si el comedero del gato tiene WiFi, se puede hackear
La IoT Village lleva esa discusión a dispositivos mucho más cotidianos. El espacio está lleno de aparatos conectados de los más variados: desde una máquina de básquet de arcade hasta comederos automáticos para gatos, batidores de cocina y lavarropas. La idea, según me explicó la Dra. Rachel Tubbs, una de las responsables de la village, es que los participantes puedan experimentar directamente con esa clase de equipos y aprender cómo funcionan por dentro.
Hay actividades para distintos niveles. Para alguien que nunca hizo hacking, por ejemplo, prepararon un laboratorio completamente autoguiado con una lamparita inteligente: siguiendo instrucciones paso a paso, el participante termina pudiendo controlarla, prenderla, apagarla y cambiar sus colores.
En el otro extremo hay ejercicios avanzados de hardware hacking, donde se desarman dispositivos y se analizan sus componentes y chips en busca de vulnerabilidades, además de CTF, talleres y demostraciones guiadas. Y hasta un concurso para hackear un comedero gatuno con WiFi:
Le consulté a Tubbs por esa naturalización de tener todo conectado y por cuánto saben realmente los usuarios acerca de los riesgos que eso implica.
Creo que todavía falta mucha educación sobre cuán vulnerable es realmente todo. Si algo puede conectarse a Internet, puede ser hackeado. Hay cosas en tu casa que pueden ser hackeadas y hay cosas en la oficina, dentro de tu empresa, que también pueden serlo. Si la gente no sabe eso y no toma las precauciones adecuadas, queda vulnerable.
Para Tubbs, una parte central de la IoT Village es educativa. “Es realmente importante que la gente venga a IoT Village, a DEF CON o a otras conferencias de ciberseguridad alrededor del mundo y se eduque sobre estas cosas, para poder estar mejor protegida frente a atacantes maliciosos”, explicó.
Quizás pocos espacios más tangibles para recuperar “agencia” que los objetos que nos rodean en nuestra propia casa.
Car Hacking Village: “Los autos son computadoras con ruedas”
En la Car Hacking Village, que se creó en 2015, la discusión sobre cuánto control tenemos sobre lo que compramos aparece de una manera muy concreta. Justin, fundador, me dijo que la mayoría de las personas “no sabe del todo qué está comprando cuando compra un auto”, especialmente por la enorme cantidad de datos que generan los vehículos modernos. Explicó:
La mayoría no tiene la opción de opt out. Tu auto te está siguiendo, ya sea porque esos datos se envían a un servidor o porque permanecen localmente en el vehículo.
La village busca precisamente enseñar qué pasa dentro de esos sistemas: tiene ejercicios introductorios para aprender dónde conectarse a un vehículo y cómo comunicarse con sus componentes, además de CTF y desafíos más avanzados.
Este año llevaron una Volkswagen ID. Buzz eléctrica para que los asistentes experimenten e intenten encontrar vulnerabilidades que luego puedan reportarse al fabricante. “Está llena de puertos USB y hasta un RJ45”, se relamía un hacker con el que hablé.
Detalle: los autos eléctricos profundizan todavía más esa transformación. Dijo Justin:
Un EV es básicamente una computadora con ruedas. En realidad, la mayoría de los autos ya son computadoras con ruedas, pero en uno tradicional todavía hay muchas más cosas mecánicas. Un eléctrico se parece más a tu teléfono, sólo que tiene ruedas.
La comparación explica bastante bien por qué una village dedicada originalmente a hackear autos dialoga perfecto con la temática de este año: al comprar un auto, el conductor promedio desconoce completamente lo que puede pasar a nivel técnico y, por lo general, el control de la reparación siempre queda del lado del fabricante.
Hardware Hacking Village: comprar, modificar, aprender
La Hardware Hacking Village estaba a puro estaño: decenas de participantes aprendiendo a soldar o resolviendo desafíos.
Uno de sus organizadores, que pidió mantener su identidad en reserva, me explicó que el punto de partida es bastante simple: cualquier computadora, teléfono o dispositivo termina dependiendo del hardware que tiene adentro y de las decisiones que tomó quien lo fabricó.
“En última instancia, todo termina en el hardware. Si no tenés control sobre eso, alguien más va a estar tomando decisiones que limitan lo que ese dispositivo puede hacer”, explicó a Dark News.
Es precisamente por eso que uno de los objetivos de la village es enseñar soldadura, electrónica y modificación de dispositivos existentes para que los asistentes puedan darles usos diferentes de los previstos originalmente por sus fabricantes.
El problema, según planteó, pasa muchas veces por la diferencia enorme entre comprar un producto terminado y aprender todo lo necesario para construir o modificar uno. Pero a la vez, hoy existe un acceso a componentes y servicios de fabricación que hace unas décadas hubiera sido impensable para una persona de a pie.
La capacidad de acceder a procesos de fabricación está más abierta que nunca. Lo que la gente necesita es aprender y entender. Ese es uno de los objetivos principales de nuestra village: asegurarnos de que tengan las herramientas y puedan adquirir las habilidades necesarias para hacer esas modificaciones.
Le planteé la aparente paradoja: vivimos probablemente el mejor momento para conseguir componentes, documentación y herramientas y, al mismo tiempo, buena parte de la tecnología cotidiana se mueve hacia suscripciones, ecosistemas cerrados y walled gardens.
Para el organizador, ahí aparece una decisión que cada usuario termina haciendo sobre cuánto esfuerzo quiere invertir para conservar control sobre sus dispositivos.
Podés aceptar el jardín cerrado de otra persona y aprovechar todo lo que te permita hacer dentro de él. Si lo que querés hacer queda afuera, vas a tener que invertir tu propio tiempo y esfuerzo para lograr que un dispositivo haga lo que vos querés. La mayoría elige evitar el camino más difícil de aprender esas habilidades y construir cosas. Pero, en última instancia, ahí está la libertad.
Para alguien completamente ajeno a DEF CON, el consejo del organizador fue empezar por algún interés concreto y preguntarse qué computadora hay detrás: un auto, una consola, un electrodoméstico o cualquier otro dispositivo. “Podés aprender a usar esa computadora de formas que el fabricante originalmente no había diseñado. Ese interés es el mejor lugar para empezar”, resumió.
Un tema que mencionó en la charla también fue el del badge de esta edición, como un ejemplo de esto: su hardware fue llevado deliberadamente hacia un diseño que pueda ser entendido y modificado por la comunidad.
El badge, hecho por una leyenda del hacking que le causó más de un dolor de cabeza a Microsoft
El badge (es decir, la entrada a la conferencia) lo hizo este año una leyenda del hardware hacking: Andrew “bunnie” Huang, histórico hardware hacker conocido, entre otras cosas, por haber realizado ingeniería inversa de la Xbox original.
El corazón del badge es Baochip-1x, un system-on-a-chip (SoC) con procesadores RISC-V que Huang ayudó a diseñar y cuya primera aplicación importante es justamente el dispositivo entregado este año en DEF CON. El código de la aplicación de seguridad, el sistema operativo Xous y los bootloaders son todos abiertos, así como el diseño de la placa y el procesador, junto con buena parte de sus componentes criptográficos.
Bunnie cuenta en el propio dossier de DEF CON que el proyecto nació, en parte, de una pregunta que suele hacerse: “¿Realmente sé qué está pasando dentro de mi CPU?”. Para intentar responderla llevó la posibilidad de inspección hasta el propio silicio: Baochip-1x fue diseñado de manera que resulte transparente a la luz infrarroja.
Con determinados microscopios USB o cámaras modificadas se puede mirar a través del silicio y observar físicamente los transistores que componen el chip. “Con Baochip-1x no tenés que creerme sobre lo que hay dentro del chip: podés mirar y comprobarlo por vos mismo”, escribió.
Esa transparencia también trae problemas interesantes. Huang advierte que un chip tan accesible para inspeccionar puede ser especialmente susceptible a técnicas físicas como el fault injection, que consiste, a grandes rasgos, en provocar deliberadamente pequeños fallos eléctricos o de funcionamiento para intentar alterar su comportamiento y romper sus protecciones.
Justamente por eso invita a los asistentes a atacarlo: espera que los hackers encuentren errores, los documenten y ayuden a corregirlos. La experiencia, escribió, puede servir para desarrollar mejores prácticas para construir hardware que consiga ser seguro, abierto e inspeccionable por sus propios usuarios.
Después de recorrer estas villages, la idea de agency empieza a resultar bastante menos abstracta: entender qué hace la tecnología que tenemos enfrente, aprender a intervenirla y conservar alguna capacidad de decisión cuando quien la fabrica ya decidió por nosotros. Para los que quieran profundizar, Kim Zetter escribió una buena nota en Wired sobre el badge.
Huang termina el texto con una invitación: “Hackeá, construí, jugá y usá el módulo después de DEF CON para mejorar tu vida. Nos divertimos construyendo esto, esperemos que ustedes se diviertan usándolo”.
Happy hacking.
Este newsletter fue escrito por un humano. Se usó inteligencia artificial generativa para resumir textos, detectar errores de redacción, concordancia y typos. Aun así, puede contener imprecisiones.
Para cualquier comentario, corrección o sugerencia, podés responder este mail. Si tenés información sobre un hackeo, me podés contactar por acá o por mis redes.
Si te sirvió, compartilo: tu recomendación orgánica es mucho más valiosa que cualquier campaña publicitaria.
