Dragon Sector AMA

Jesteśmy polskim zespołem biorącym udział w rozgrywkach CTF (security/hacking). Zapraszamy do zadawania pytań! Odpowiadamy z kont: @dragonsector, @gynvael i @lympho (ew. dodatkowe wymienimy na stronie w linku). Start 8.1.2015 12:00. Koniec 9.1.2015 10:00

[O.....6]

Kiedy każdy z Was zaczynał przygodę z programowaniem, IT? W jakim wieku?

[dragonsector]

@Obywatel915356: ~11 lat - w 1991/1992 - amiga-basic i po roku asm-one :)

// jagger

[wzorekOkonia]

1. Jak ilościowo/jakościowo wypadają polskie drużyny na tle innych krajów? Który kraj jest najbardziej aktywny jeśli chodzi o CTFy?
2. Czy zdarzyło się kiedykolwiek, żeby jakiś polski zespół wyprzedził Was w jakimś CTFie? Czy jeśli chodzi o "lokalny" ranking, to zawsze byliście na pierwszym miejscu w każdych zawodach.
3. Czy istnieje jakaś strona/ranking/agregator, na którym można pooglądać sobie jakie były CTFy i jakie miejsca zajmowaliście/jaką mieliście konkurencję?
4. Pisaliście, że CTFy trwają

[dragonsector]

@wzorekOkonia:
1) ciezko powiedziec, znam tylko jeden aktywanie grajacy (Snatch the Root / https://ctftime.org/team/7016 ) i on wypada calkiem niezle
2) nie mam pojecia - patrz ctftime
3) ctftime.org
4) zazwyczaj pare dni, do tygodnia zalezy od ctf'a
sa tez tez robione backupy zadan na shell-storm.org

[blaze01]

1. Czy rynek specjalistów od bezpieczeństwa IT jest już naładowany? czy może specjalistów ciągle brakuje?
2. Jak wyglądają zarobki na tle innych sektorów IT(np. programistów javy/c++)?

Na resztę pytań np o naukę już odpowiadaliście w innych komentarzach. Swoje pytania motywuje przeświadczeniem jakie panuje u mnie na roku/uczelni/kierunku że najlepsi informatycy to szerokiej gamy programiści i oni zarabiają największe pieniądze:), sam piszę jedynie w Pythonie okazjonalnie w c#/javie, o ile Python sprawia mi

[dragonsector]

@blaze01:
1). Nie jest IMO - security będzie rosło i rosło jeszcze przez lat wiele. jak sądzę wiele firm jeszcze poważnie odczuje skutki braku dobrych praktyk i zechcą ten stan zmienić. W Polsce - jak zwykle - z opóźnieniem.

2). Chyba podobnie (uśredniając wszystko i wszystkich)

// jagger

[k.....n]

Z tego co widzę, to chyba wszyscy pracują za granicą. Jak spotykacie się na jakieś zadanka to komunikujecie się po polsku czy angielsku?

[dragonsector]

@kradzionyLogin: Nie wszyscy ;).

Na IRCu (którego używamy do komunikacji i kolaboracji przez internet podczas zawodów online) piszemy po polsku. Wewnętrzne materiały są zazwyczaj mieszanką angielskiego (gdy np. opisujemy rozwiązania zadań, które czasami trzeba przesłac jako „dowód” dla orgów) i polskiego. //q3k

PS. OpenBSD represent!

[kisiele]

Czy ktoś na zachodzie słyszał o VMPCrypt ? Czy jest powaznie brany do jakis konkursów?

[dragonsector]

@kisiele: Pierwszy raz słyszę. Brak możliwości wglądu w kod źródłowy, brak portu na systemy inne niż Windows i brak sensownego peer review algorytmu kryptograficznego (mogłem znaleźć tylko jeden paper z Cambridge który w zasadzie niewiele wnosi) nie wróżą zbyt dobrze. Trzymałbym się otwartego oprogramowania, standardów przemysłowych i sprawdzonych algorytmów. //q3k

[kisiele]

Jaki jest Wasz klucz gpg? Ile w tym roku wysłaliscie zaszyfrowanych listów? Z moich obserwacji wynika, ze nikt tego nie uzywa bo jest skomplikowane.

[dragonsector]

@kisiele: fingerprint GPG: 63DF E737 F078 657C C8A5 1C00 C29A DD73 B356 3D82

W tym roku? Około dziesięciu. Ale każda korespondencja elektroniczna którą wysyłam jest podpisana w/w kluczem.

//q3k

[dami_cnc]

Można pracować jako pentester, zajmując się wyłącznie webapp, czy strona "serwerowa" jest obowiązkiem?

[dragonsector]

@dami_cnc: kiedyś sądziłem, że nie można - ale teraz rynek jest większy (szczególnie za granicą) i to o wiele bardziej, istnieje duża specjalizacja - więc IMO da się. ps. dalej jednak sądzę, że bardziej fascynujące (i przydatne) dla danej osoby będzie jednak poznanie w dostatecznie dobrym stopniu technologii poniżej (aplikacji, os, architektur komputerów, być może nieco elektroniki i fizyki).

// jagger

[k.....n]

Co myślicie o pomyśle cyber-armii w Polsce? Znacie/wymieniacie się wiedzą/szkoleniami z osobami w podobnych służbach?

[dragonsector]

@kradzionyLogin: Zależy czy profesjonalnej czy "ochotniczej". Profesjonalną o ile można wyczytać w necie będzie tworzyło narodowe centrum kryptologii - chociaż z wojskiem to nigdy nic nie wiadomo, i może wyjść zarówno coś ciekawego (oby) i jak i kompletna "kiszka" (już widzę hakerów uczących się musztry:) . poczekamy-zobaczymy czy nasi "wojskowi" wiedzą co robią.

Co do wymiany informacji - nie wiem o niczym co by wybiegało ponad standardowe kontakty z wszelkiej

[k.....n]

Czy myślicie, że niektóre błędy jak shellshock, poodle, heatbleed mogły zostać celowo wrzucone do obiegu?
W kontekście wiedzy, że GCHQ naciskało na twórców standardu GSM by skrócić klucz do A5/1.
Pozdrawiam starych znajomych z irca ;)

[dragonsector]

@kradzionyLogin: osobiście - nie sądzę - A5/2 to o ile wiem było osłabiane w sposób nie tyle "tajno-oszukańczy" co po prostu polityczny. błedy, o których wspomniałeś wynikają IMO z dużej ilości kodu i problemów natury organizacyjnej tych projektów (braknie miejsca by wytłumaczyć)

// jagger

[Ziemeck]

Z jakich systemów (na codzień) i programów(ctf) korzystacie?

[dragonsector]

@Ziemeck: Systemy to w 3/4 Linux (Ubuntu) - organizatorzy CTFów dają aplikacje, które każdy może uruchomić z relatywnie krótkim czasie, a Ubuntu to zapewnia (bo go prawie każdy ma, kto gra w CTFy - chociażby jako VM). Zdarzają się czasami dziwne systemy (Opensolaris, Minix, PDP-11) albo nietypowe architektury CPU (sh4, s390x, aarch64). Programy to najczęściej binutils, gcc, less, ida/hex-rays, nc, python, bash

// jagger