Lab401 Workshop: Hacken und Sichern von BLE- und RFID-Geräten

Einführung

An drei Tagen erhalten die Kunden eine theoretische und praktische Schulung zu allen Aspekten von BLE- und RFID-Penetrationstests.

Die Kunden lernen BLE-Grundlagen, Sniffing-, Dumping-, Spoofing-, MITM-, Jamming-, Replaying- und Relaying-Techniken kennen und erfahren, wie sie diese auf eine Vielzahl von realen BLE-Geräten anwenden können: intelligente Schlösser, Beacons, mobile Point-of-Sale-Geräte, Bank-Token und mehr.

Die RFID-Schulung deckt alle einführenden und fortgeschrittenen Themen ab: Grundlegende Theorie, Hardware und Werkzeuge, die zum Erkennen, Manipulieren, Schnüffeln, Knacken, Emulieren und Klonen verschiedener RFID-Systeme verwendet werden.

Bluetooth Low Energy ist eine der am stärksten wachsenden IoT-Technologien. BLE-Geräte umgeben uns mehr und mehr - nicht nur als Wearables, Zahnbürsten und Sexspielzeug, sondern auch als intelligente Schlösser, medizinische Geräte und Bank-Token. Alarmierende Schwachstellen dieser Geräte wurden in letzter Zeit mehrfach aufgedeckt. Und doch scheint das Wissen darüber, wie man ihre Sicherheit umfassend bewerten kann, sehr gering zu sein. Dies ist wahrscheinlich die umfassendste und aktuellste Schulung zum Thema BLE-Sicherheit - sowohl für Pentester als auch für Entwickler. Es basiert auf praktischen Übungen mit echten Geräten (einschließlich mehrerer intelligenter Schlösser), einem eigenen persönlichen Gerät, das mit einem BLE-Devkit geflasht wurde, und einem absichtlich verwundbaren Übungs-Hackmelock.

RFID/NFC hingegen gibt es schon seit geraumer Zeit. Die Schwachstellen, auf die schon vor Jahren hingewiesen wurde, werden jedoch wahrscheinlich auch in naher Zukunft nicht behoben werden. Es ist immer noch überraschend einfach, die meisten der heute verwendeten Zugangskontrollkarten zu klonen. Neben anderen praktischen Übungen, die an realen Anlagen durchgeführt werden, werden die Teilnehmer ein beispielhaftes Hotelzugangssystem nachbauen und als Ergebnis alle Türen der Anlage öffnen können. Eine Liste von mehreren hundert betroffenen Hotels ist enthalten.

Mit der Verbreitung von NFC-Smartphones gewinnt in letzter Zeit eine neue Implementierung dieser Technologie an Aufmerksamkeit: mobile kontaktlose Zahlungen/Zugangskontrolle auf Android, bekannt als Host Card Emulation. Durch die Kombination von Cloud-Diensten und mobiler Sicherheit ist es jetzt möglich, nicht nur die Kreditkarte, sondern auch den NFC-Schlüssel zu einem Schloss in Ihr Telefon einzubetten. Ist die Technologie so robust wie angepriesen? Wie lässt sich ihre Sicherheit überprüfen und wie wird sie richtig eingesetzt? Finden Sie es in praktischen Übungen heraus!

Slawomir Jasek

RFID/BLE-Sicherheitsexperte

Referent, Trainer und IT-Sicherheitsberater mit über 15 Jahren Erfahrung. Slawomir Jasek hat an unzähligen Bewertungen der Sicherheit von Systemen und Anwendungen für führende Finanzunternehmen, öffentliche Einrichtungen und innovative Technologie-Start-ups teilgenommen.

Derzeit leitet er die Forschung zu verschiedenen Themen im polnischen Software-Sicherheitsunternehmen SecuRing und bietet Schulungen zur Sicherheit moderner Schlösser und Zugangskontrollsysteme an(www.smartlockpicking.com).

Neben Forschung und Schulung konzentriert er sich auf die Beratung und das Design von sicheren Lösungen für verschiedene Software- und Hardware-Projekte, und zwar in allen Phasen - von Null an. Zuvor hielt er Vorträge, Workshops oder Schulungen auf HackInParis, BlackHat USA, mehreren Appsec EU, HackInTheBox Amsterdam, Deepsec, BruCON, Confidence, Devoxx und vielen anderen Veranstaltungen.