Dieses Jahr war ich wieder auf der Hacker-Halted Konferenz, die im September in Atlanta stattfand. Vor drei Jahren war ich zumindest von dem EC-Council-Training alles andere als begeistert, aber eine zweite Chance wollte ich der Veranstaltung dennoch geben. Das galt insbesondere für das Angebot, den Hotelaufenthalt zum Training und der Konferenz kostenlos zu bekommen. Mein erster Gedanke war zwar “na, kriegen die ihre Veranstaltung nicht voll”, aber die Gelegenheit habe ich doch genutzt.
Als Training habe ich mir den 3-Tages-Kurs “CAST-615: Cryptography Deep Dive” bzw. “Hacking Encryption and Countermesures” ausgesucht, da mich das Thema sehr interessiert. Die Einleitung zum Kurs klang auf jeden Fall gut:
Perhaps you already know SSL/TLS in depth, you can setup a VPN in your sleep, and you have been using TruCrypt for years. Maybe your middle name is AES (John AES Smith), but do you know enough? This course will teach you the major algorithms in depth, allowing you to understand proper implementation and exploitation. For example can you crack hard drive encryption? How likely is it to be able to break a given RSA implementation? This course does not assume you have a strong math background, it will teach you enough number theory to understand cryptography.
Auch wollte ich nach den Erfahrungen von 2010 keinen Kurs besuchen, der zu einer Zertifizierung führt. Aber manchmal kommt es doch anders …
Unter den Voraussetzungen zum Kurs wurde extra erwähnt, dass keine besonderen mathematischen Vorkenntnisse vorhanden sein müssen. Die Mathematik ist der Bereich, bei dem ich selbst in exzellenten Büchern wie z.B. Practical Cryptography aussteige.
Der Kurs bestand aus verschiedenen Blöcken: Mathematische Grundlagen, historische Mechanismen, moderne Kryptographie, Steganographie und Cryptoanalyse.
Gleich zu Anfang des ersten Tages hatte der Trainer Chuck Easttom auch herausgestellt, für wie schlecht er alle bekannten mathematischen Erklärungen hält und dass er eine eigene Methode hat, die notwendige Mathematik verständlich zu erklären. Nun, das war dann auch nur eine zusammenhanglose Aneinanderreihung mathematischer Begriffe; zu einem Verständnis dieser hat das allerdings auch nicht geführt. Das war, nun ja …
Die historischen Verfahren haben in meinen Augen viel zu viel Platz eingenommen, Steganographie halte ich für überbewertet und muss sich in so einem Kurs sicher nicht über einen halben Tag erstrecken. Kryptoanalyse war das, worauf ich am meisten gespannt war. Dort habe ich dann doch erwartet, aktuelles zu lernen, z. B., wie kryptografische Verfahren gebrochen werden. Effektiv war das eine Übersicht von Methoden, wie known-plaintext-attacks, choosen-plaintext-attacks oder die Wichtigkeit, Kryptografie mit Cipher-Block-Chaining anstelle Electronic-Code-Book zu implementieren. Irgendwie habe ich mich um zehn Jahre zurückversetzt gefühlt, als ich den (damals sehr guten) Cisco-Kurs VPBAV (IPSec) gegeben habe. Dort bestand der erste Tag ungefähr aus dem Stoff, den wir in diesen drei Tagen durchgenommen haben (ok, ohne die Mathematik und ohne Erklärung von AES, der Standard war zu der Zeit als der Kurs entwickelt wurde noch nicht vorhanden. Auch Steganographie kam natürlich nicht drin vor). Zusammengestrichen ist der Kurs dann auch das, was ich in meinem IPSec-Workshop am ersten Vormittag mache. Als Anregung nehme ich aber dann doch mit, die Arbeitsweise von AES in meinen Workshop zu integrieren.
Eine schlimme Vorahnung überkam mich, als angekündigt wurde, dass es einen anderen EC-Council-Kurs gäbe, der zur Zertifizierung zum E|CES (EC-Council Certified Encryption Specialist) führt und mit diesem Kurs fast deckungsgleich sei. Und da sowohl unser, als auch das Zertifizierungstraining und die Prüfung vom selben Trainer entwickelt wurde, war auf einmal auch dieses Training ein reines Zertifizierungs-Training. In diesem ging es dann auch hauptsächlich darum, das zu lernen, was man für die Prüfung benötigt, anstatt tiefergehendes Wissen zu vermitteln. Dieses Training war leider kein Deep-Dive und auch um “Hacking Encryption” oder Countermeasures ging es eher nicht. Es war das, was ich als minimale Grundlagen der Kryptographie für jeden Security-Professional bezeichnen würde. Zudem waren es Grundlagen ohne praktische Anwendung, auf die man dann hätte aufbauen können.
Die Kursunterlagen sollte man natürlich auch nicht vergessen (Kostprobe unter https://www.eccouncil.org/Certification/ec-council-certified-encryption-specialist). Die gedruckten Slides wirkten so, als hätte ein Kind zum ersten Mal die Powerpoint Cliparts entdeckt und diese mussten jetzt unbedingt allesamt in den Slides dargestellt werden. Ein Resultat daraus war, dass die Schrift so klein wurde, dass man sie fast nicht mehr lesen konnte.
Im Nebenraum lief auch wieder eine CEH-Schulung (Certified Ethical Hacker). In den Pausen habe ich häufiger kurz durch die geöffnete Tür geschaut. Was wurde dort meistens gemacht? Lediglich das sture Lernen von Prüfungsfragen. Das bestätigt meine Meinung, die ich schon in meinem ersten Hacker-Halted-Beitrag geschrieben habe, dass der CEH noch weniger wert als wertlos ist … Ach ja, E|CES (EC-Council Certified Encryption Specialist) bin ich jetzt auch. Und auch diese Zertifizierung ist mehr als wertlos. Als Kursteilnehmer bei EC-Council kann man quasi nicht durchfallen und vom Anspruch ist sie auch eher rudimentär.
Apropos Prüfung … Die Exam-Seite, auf der man sich einloggt, seine Prüfungen verwaltet und auch die Prüfung ablegt, arbeitet mit HTTP anstelle HTTPS (bzw. es gibt ein Zertifikat, aber das ist für einen anderen FQDN). Und nach der Registrierung bekommt man seinen Usernamen und das Password im Klartext zugesendet. Zumindest wenn die E-Mail ankommt, das ist sie bei mir nämlich nicht direkt:
MTA helo: zeus.atlas.eccouncil.org, MTA hostname: 67.221.176.34.static.nyinternet.net[67.221.176.34]
Die darauf folgenden knapp drei Konferenztage waren dann aber doch sehr gut. Es gab etliche sehr gute Vorträge, die neue Informationen lieferten oder aber zum Nachdenken anregten. U.a. berichtete Charlie Miller über den Stand der Mobile Security. Es ging weiterhin um Unicode und Security, bei dem ich mich häufiger gefragt habe, ob der Normalizer in den Cisco IPS-Appliances das auch erkennen kann oder um den Security-Zustand der Industrial Control Systems (ICS). Bei letzterem wird einem dann doch sehr mulmig. Die Security in diesen Systemen ist irgendwie vergleichbar mit dem frühen Internet. Es gibt einfach keine Security …
Am Abend des ersten Tages gab es dann die Preview von Dragon Day, einem Independent Hacker Film, bei dem die USA durch einen Cyber-Angriff in die elektronische Steinzeit zurückgeworfen werden. Das war zwar kein großes Kino, aber trotzdem gut gemacht und gelungene Unterhaltung. Und Popcorn gab es auch!
Am zweiten Tag waren diverse kurze Sessions à 40 Minuten vorgesehen. Z.B. Angriffe auf SSL-Implementierungen. Sowas hätte ich mir auch in dem “Encryption Deep-Dive” gewünscht. Auch die weiteren Sessions waren fast alle sehr interessant. Am dritten Tag gab es dann nur vier Sessions am Vormittag. Bis auf eine waren auch die gut. Aber die letzte hatte es wirklich in sich. Durch komplette Ignoranz wie IT-Systeme und Netzwerke funktionieren, wurde unter abenteuerlichen Annahmen ein theoretischer Angriff präsentiert, der dann hypothetisch mit Mechanismen abgewehrt wurde, die bekanntermaßen nicht wirklich funktionieren (nämlich Security by Obscurity). Oh, war das schlecht …
Und damit ist es mal wieder Zeit für eine Zusammenfassung: Die EC-Council-Zertifizierungs-Trainings sind in meinen Augen die wohl schlechtesten Trainings am Markt (und ich besuche viele Trainings). Wenn man in einem Kurs-Thema schon Grundlagen hat, dann sollte man das entsprechende ec-council-Training eher nicht besuchen, es sei denn, man ist nur an der Zertifizierung interessiert. Etwas neues lernen wird man vermutlich nicht. Wenn man ein Thema noch nicht kennt, kann es durchaus lohnen, dümmer wird man sicher auch nicht. Und da der Konferenz-Teil durchweg gut war, kann ich mir bei einem ähnlich guten Angebot durchaus vorstellen, im nächsten Jahr wieder bei der Hacker-Halted dabei zu sein und dann z.B. das “Digital Forensic” Training zu besuchen. Oder noch besser das Training zum Thema “Securing Windows”. Dazu gibt es keine Prüfung und Teilnehmer dieses Trainings haben mir gesagt, dass es richtig gut gewesen sein soll.