DEF CON-badge is een 2fa-sleutel en deels door Nederlanders ontworpen

De badge voor hackersconferentie DEF CON is deels ontworpen door Nederlanders. De hardware is gebaseerd op een Baochip-processor en ontwikkeld door Andrew 'bunnie' Huang, die ook de eerste XBOX hackte. Het Nederlandse Cheeso ontwierp de badge, waarbij onder anderen Edwin 'Yafsec' van Andel betrokken is. De badge werkt als een 2fa-sleutel en wachtwoordmanager.

Hackersconferentie DEF CON begint vrijdag in Las Vegas. Een van de kernelementen van de hackersbeurs is een uitgebreide badge bedoeld als toegangsbewijs, die ook een hele computer is. De badge van dit jaar is opnieuw een geavanceerd stukje techniek, maar hij is meer dan alleen een leuke gadget.

Nederlandse hackers/ontwerpers van Cheeso verzorgden het artistieke ontwerp. Dat is een ontwerp- en marketingbureau dat zich specifiek richt op securitybedrijven en hackers. Het bedrijf is onder andere opgericht door Edwin van Andel, een bekende ethisch hacker die ook bekendstaat als Yafsec.

Interactie

De badge is in ieder geval bedoeld om interactie onder bezoekers te stimuleren. Dat is altijd zo bij DEF CON-badges. Die komen in verschillende kleuren voor bezoekers, sprekers, vipgasten, werknemers (ook wel 'goons' genoemd) of media. Dat is op deze badge ook het geval. De ledjes vertonen nieuwe patronen wanneer bezoekers andere typen badges scannen.

Zelfontworpen soc

Wired kreeg al een voorproefje van de badge. Het kijkt in een artikel vooral naar de technische kant van de chip, die Andrew Huang heeft ontworpen. Huang, beter bekend onder zijn hackernaam bunnie, is een legendarische hardwarehacker die onder andere de originele XBOX wist te hacken in 2003. De XBOX-hack gold als een van de eerste grote reverse-engineeringprojecten op hardwaregebied.

De DEF CON-badge is gebaseerd op de Baochip-1x-chip. Die ontwierp bunnie zelf en hij maakte de broncode ervan openbaar. Het idee achter de chip is dat het een opensourcemicrocontroller is die specifiek op veiligheid maar ook op securityhackers is gericht. Dat betekent dat beveiligingsonderzoekers de broncode van het OS, de firmware, de processorcores en de cryptografie kunnen bestuderen. Ze kunnen zelfs de interne structuur van de chip bekijken onder infraroodlicht.

FIDO-token

De chip is ook na de beurs bruikbaar als een FIDO-beveiligingstoken. Gebruikers kunnen er totp-codes voor tweetrapsauthenticatie en wachtwoorden op opslaan. Er zit onder andere een random number generator op en de chip gebruikt resistive ram.

De badge heeft verder een kleine camera, zodat gebruikers QR-codes kunnen scannen om een 2fa-code te koppelen. Dat is een camera met een zeer lage resolutie. Slim voor de hackersconferentie: de camera is niet goed genoeg om mensen te fotograferen, maar toch functioneel.

Bunnie verwacht dat de bezoekers van DEF CON de chip zullen proberen te kraken. Dat is volgens hem precies het idee van de beurs. Bunnie zegt vertrouwen te hebben in de veiligheid van de badge, maar volgens hem zou een serieuze aanvaller met een miljoenenbudget (bijvoorbeeld een staatsdienst als de NSA) de chip kunnen kraken.