Dragon Sector AMA

Jesteśmy polskim zespołem biorącym udział w rozgrywkach CTF (security/hacking). Zapraszamy do zadawania pytań! Odpowiadamy z kont: @dragonsector, @gynvael i @lympho (ew. dodatkowe wymienimy na stronie w linku). Start 8.1.2015 12:00. Koniec 9.1.2015 10:00

[H.....i]

Jak sie zaczeła twoja przygoda z tym tematem?

[dragonsector]

@Hieronim_Buszewski: rodzice kupili amigę 500, a mi się zachciało naprawić (działającą) stację dyskietek; później u lokalnego dilera (dyskietkowego w '92) kupiłem ASM-One
// jagger

[K.....a]

1. Prócz SQL injection , XSS , csrf, cookie stolen są jeszcze inne, nowe ataki, przed którymi programista powinien się bronić?
2. Znacie Goriona? ( ͡º ͜ʖ͡º)

[dragonsector]

@Klopsztanga: 1 - https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project //q3k

[NoComments]

1. Czy ksywe dragon* czerpales z DragonFly ?
2. Jak wygladaja wasze KexAlgorithms / Ciphers / MACs w sshd_config ?
3. Jakie ciekawe sprzety udalo wam sie posiasc ( P0wNeD ) ?
4. Czy macie jakies osiagniecia w docker.io, np. uzyskac dostep do natywnej maszyny z poziomu kontenera ?
5. Czy wszystkie znalezione Luki/BUG'i zglaszacie, czy raczej zostawiacie sobie furtke na jakies zawody ?
6. Czy generujecie czasami klucze (ssh/openssl/itp.) na wirtualnej maszynie ?

[dragonsector]

@NoComments:
1) @Gynvael wie :)
2) defaultowe z debiana wheezy backports (na moich osobistych serwerach)
3) osobiście - (podczas CTF) Linux działający "chyba" na Sega Dreamcast, ale może było coś ciekawszego po drodze i mi umyka teraz
4) docker to jeszcze świeża technologia - sama z siebie ma trochę problemów i historię bagów (czasami ocierających się o facepalm). Nie zabezpiecza w żaden sposób przez pwn-waniem kernela, co więcej poszerza trochę attack surface

[gvs]

pytania do q3k głównie:

1. Dużo jest kosztów i załatwiania by otworzyć hackerspace ? Działacie jako spółdzielnia ?
2. Na fotkach widać sprzęt za grube tysiące. Sponsorzy, wasze czy bogaci rodzice ? ;)
3. Dużo ludzi przychodzi ? Nowi czy powracający ?

[dragonsector]

@gvs: Heh.

1 - Jesteśmy Stowarzyszeniem Rejestrowanym, tj. jestesmy w KRSie i jakieś tam zobowiązania/możliwości prawne mamy (możemy, ale na razie tego nie robimy, prowadzić ograniczoną działalność gospodarczą, ale cały przychód musi byc wydawany na cele statutowe i cośtam jeszcze). Kosztów tyle że znaleźć lokal, my się mieścimy w 5k PLN/miesiąc za lokal w centrum Warszawy (mamy szczęście). Na początku było taniej, bo lokal był mniejszy (chyba zaczynaliśmy od ok.

[coredump]

Czy ktoś z Was ma certyfikat CISSP (lub planuje w najbliższym czasie robić)?

[dragonsector]

Każda nauka cenna, tylko, hm... czasami nie warto pisać w nagłówku CV "Jan Kowalski CCNP/CISSP" tylko umieścić to dyskretniej gdzieś nieco dalej :) // jagger

[m.....c]

Hej, a jakie macie zdanie na temat certyfikatow , CCNA , CCNA+SECURITY, ogolnie cisco oraz microsoft ?

[dragonsector]

@mechanicc: Podejrzewam, że żaden z nas nie specjalizuje się w bezpieczeństwie pod konkretnego vendora aplajansów. Więc trudno mi powiedzieć, jak bardzo to traktuje o ogólnych zasadach bezpieczeństwa a jak bardzo o wklepywaniu komend w konsolę cisco (co może być z drugiej strony intratne). Wiele osób szczyci się posiadaniem CISSP (ale chyba nikt z teamu). Z osobami z którymi rozmawiałem, wyłania się obraz, że to trochę systematyzuje wiedzę, ale z nikogo

[Jack_Pstrong]

Czy macie klientów w Polsce?

[dragonsector]

@Jack_Pstrong: Nie mamy klientów, nie jesteśmy firmą, nie działamy komercyjnie. //q3k

[p.....r]

1. Ile średnio trwa taki CTF? Ile czasu na rozwiązanie zadania / zadań?
2. Czy na scenie są jacyś guru którzy nie biorą udziału w takich zawodach?
3. Uważacie się za mocnych w porównaniu z takimi ludźmi? (O ile istnieją :D)

[dragonsector]

@paszczur:
1). Zazwyczaj od 8 do ~50h (ale są też zawody typu microcorruption.com czy cykada gdzie trwało to chyba tygodnie, jednak to poza ctftime). Jedno zadanie zajmiuje od 1 min do 50h :) (są różne poziomy trudności)
2). Są (chociaż bez podawania nicków) - strzelam, że ok 1/3 tych najlepszych gra (np. geohot gra a inni nie).
3). W porównaniu z geohotem nie czuję się mocny nic a nic :)

[b.....x]

W jakim wieku zaczęliście się interesować security?

[dragonsector]

@banex: 18/19 lat // jagger

[piotr-berent]

@dragonsector
1. Co sądzicie o takich akcjach jak niedawny "atak" LizardSquad na sieci PSN, i XBL?
2. Czy istnieje jasny (bądź ciemny ;) ) podział na white-hat hacker i black-hat hacker
3. Był ktoś z Was na Defconie?
4. Czy przed każdym zagrożeniem da się uchronić (vide pyt. 1 gdzie był spory DDoS)?
5. Kiedyś usłyszałem na wykładach z kryptografii, że tak naprawdę każdy nawet najbardziej zaawansowany system/algorytm szyfrujący (lub każde zabezpieczenie) da się pokonać,

[dragonsector]

@piotr-berent:
1 - Pseudo-haktywizm za pomocą DDoSowania - Było, zakop, nic ciekawego, etc.
2 - Puff, to pozostawię komuś bardziej filozoficznemu od odpowiedzi.
3 - Tak, nasz team startował w CTFie na DEFCON22. @Gynvael , weź rzuć jakieś zdjęcia.
4 - Nie - dziura zawsze się znajdzie, chociazby w niższych warstach (vide ostatnie fuckupy z OpenSSL, GNUTLS, Bash...). A DDoS to nie atak ;).
5 - Nie jestem cryptonerdem, poczekam aż ktoś inny