egyperctech

Hetente jelentkező sorozatunkban a hazai techszférában dolgozókat faggatjuk ki arról, hogyan is telik egy munkanapjuk. Az új részben Krasznay Csaba mesél arról, mit is csinál, hogyan és miért.

Korábbi interjúk:

IV. Szántó Péter, Chief Everything Officer

III. Pásztor Dávid, UX dizájner

II. Mester Tamás, üzleti intelligencia elemző és tanácsadó

I. Varga Attila, UX-specialista és iOS-fejlesztő

Mi a jelenlegi munkád?

Product Manager vagyok a BalaBitnál, egy biztonsági termék fejlesztéséért vagyok felelős. Emellett adjunktus vagyok a Nemzeti Közszolgálati Egyetemen, ahol a kiberbiztonsági kérdéseket kutatom.

Hogyan dolgozol?

Fókuszáltan és intenzíven. De csak munkaidőben, a többi időszak a családé.

Milyen telefonod van?

Asus Zenfone 5.

Milyen gépet és monitort használsz?

Dell Latitude E7440.

Hogyan telik egy-egy napod?

Az én munkámban nagyon fontos naprakészen látni nem csak a szakma, de a világ eseményeit is, ezért jellemzően a szak- és világsajtó eseményeit tekintem át először. Utána rövid reggeli egyeztetés következik a kollégákkal, majd meetingek és konferenciahívások tömege. A kora délután általában az alkotásé, majd zárásként újra konferenciázás azokkal, akik más időzónában dolgoznak.

Mi vonzott a biztonságtechnológia felé?

Mindig is érdekeltek a titkok, szerettem megtudni olyan dolgokat, amikhez egyébként semmi közöm nem volt. Amikor rájöttem, hogy a titkokat megtudni a legtöbb esetben sokkal egyszerűbb, mint azt az ember gondolná, elkezdett érdekelni, hogyan lehet ezt a sok információt a hozzám hasonló kíváncsi emberektől megvédeni.

Hogyan kezdődőtt a karriered, hogyan jutottál el oda, ahol most vagy?

Szerencsés időszakban születtem. Édesapám révén már egészen kicsi gyerekkoromtól számítógépek vettek körül. Már az internet hajnalánál ott voltam, a kezdetektől használhattam ezt a médiumot. Az alap tehát adott volt, ezután már csak sok-sok tanulás, egy jó adag exhibicionizmus és egy csomó véletlen kellett.

Például 2000-ben vettem a bátorságot és bekopogtam a BME Adatbiztonsági Laborjának ajtaján azzal, hogy „helló, érdekelne, hogy mi folyik itt”? Akkoriban csak pár ember lézengett ott, mára Crysys Lab néven világhírű kutatóhely.

Vagy amikor 2003-ban a Prohardver fórumában megláttam egy bejegyzést, amiben egy kis hackerkonferencia ötletgazdái segítséget kértek. Jelentkeztem, beszálltam a szervezésbe, kiálltam a színpadra. Ez volt a Hacktivity konferencia, ami ma már a régió legnagyobb ilyen rendezvénye, és aminek kapcsán megismertek a szakmán belül és valamennyire „arca” lehettem ennek a közösségnek.

Min dolgozol jelenleg?

Főállásban a BalaBit nevű szoftverfejlesztő cégnél dolgozom, ahol egy kiemelt jogosultságokkal rendelkező felhasználókat monitorozó termék fejlesztéséért vagyok felelős. Nagyjából 50 ember munkájának kell irányt adnom úgy, hogy a terméket világszerte, globális nagyvállalatoknál  használják.

Hogy mi köze ennek az IT biztonsághoz? Közhely a szakmában, hogy a legnagyobb károkat belső támadók okozzák, így nagyon szép kihívás ezt a támadási felületet csökkenteni.

Emellett a Nemzetközi Gyermekmentő Szolgálat önkéntes programjának vezetőjeként azon dolgozom, hogy a gyermekeink minél nagyobb biztonságban legyenek az interneten. A szülők többségének fogalma sincs, hogy milyen veszélyes hely lett az internet. Na, erre próbáljuk felhívni a figyelmet!

Mi a legnagyobb félreértés a munkáddal kapcsolatban?

„Figyi, te olyan hacker vagy, vagy mi. Fel tudnád törni a barátnőm Facebook-ját?” Nem, nem tudok Facebook-ot törni, ez ráadásul törvénytelen, tehát ha tudnám, sem csinálnám. Egyébként  ezeket az információkat törés nélkül is körülbelül 5 perc alatt megszerezhetném, hiszen a felhasználók túlnyomó többsége az alapvető biztonsági ismeretekkel sem rendelkezik, tehát tutibiztos, hogy a telefonon nincs beállítva biztonsági kód, így simán bele lehet a Facebook appjába nézni...

Mit szeretsz a legjobban a munkádban?

Az összefüggéseket, mivel a kínai-amerikai diplomáciai viszony vagy éppen az oroszajkú szervezett bűnözői csoportok aktuális tevékenysége például komoly hatással van arra, hogy a kollégáim 8-as vagy 12-es konfigurációs értéket állítanak be a termékeinkbe. Ezeknek a hatásoknak a kiismerése, meglátása és ezekre valamilyen megoldás kitalálása a legszebb, eddigi karrierem során mindig ezeket a kihívásokat szerettem a legjobban.

Milyen technológiai fejlesztés izgat mostanában a legjobban?

Egyértelműen a cloudok előretörése. Sokkoló élmény volt tavasszal a világ legnagyobb IT biztonsági konferenciáján az, hogy mennyire felhő-függőek lettek az ottani nagyvállalatok. Ez a trend pedig hamarosan hozzánk is elér.

Mik azok az applikációk és szoftverek, amiket mindennap használsz?

Feedly, mindenféle Google alkalmazás és természetesen a Powerpoint valamint a Chrome.

Persze egy biztonsággal foglalkozó embertől rögtön megkérdezik ilyenkor, hogy „te bízol ezekben a szolgáltatókban”? Ennyi év után az ember már nem paranoid, tudja, hogy üldözik.

Ahogy egy barátom szokta mondani, két ember akkor tud közös titkot tartani, ha az egyikük halott. Tehát ami védett információ, az úgyis csak a fejemben létezik. És szerencsére gyorsan felejtek. :)

Mi a legjobb időbeosztási tipped?

Az e-mail olyan, mint a csótány. Minél többet irtasz ki, annál több jön helyette. Tehát csak a sürgős-fontos e-mailekre reagálok hamar. A többi várhat.

Emellett van egy listám, amire felírtam  a féléves céljaimat és az oda vezető utat, a hozzájuk tartozó lépésekkel. Az ezekhez szükséges időintervallumok be vannak foglalva a naptáramban, akkor senki nem zavarhat.

Hogyan követed a feladataidat?

Minden feladatról e-mailt kérek. Amit nem oldottam meg, a Bejövő üzenetek között szerepel.

Nagyon frusztráló, ha 50 levél van, így igyekszem ezeket minél előbb vagy megoldani vagy delegálni.

Milyen az asztalod?

Tiszta, rendezett. Biztonsággal foglalkozó emberként különösen kínosan figyelek arra, hogy semmilyen információ ne legyen az asztalomon. Ha érdekel az asztalom, ezen a videón meg tudod nézni:

És találd meg benne az elrejtett viccet! :)

Hallgatsz zenét munka közben?

Amikor az alkotó fázisban vagyok, akkor igen. A Spotify-t tartom éppen ezért az utóbbi évek egyik legnagyobb fejlesztésének.

Milyen oldalakból informálódsz?

A híroldalak gyors átnézése alap. Emellett van néhány security-val foglalkozó gyűjtőoldal, amit olvasok. De a leghasznosabbak az ismerőseim által megosztott Twitter, Facebook és Pocket megosztások.

Mi a legjobb tanács, amit kaptál?

„Másoktól mindig csak a tudásukat irigyeld! Ezzel tudod ugyanis magadnak azt a mércét meghatározni, amit úgyis csak saját magad tudsz megugrani.”

----------

A sorozat következő része hamarosan...

A Der Spiegel magazin készített interjút Julian Assange aktivistával. Assange volt az, aki a WikiLeaks oldalon névtelen kormányzati és üzleti forrásoktól származó, titkosított anyagokat kezdett publikálni 2006-ban.

Assange itt épp az UNHRC Geneva-i nagygyűlésére jelentkezett be videón júliusban.

Assange elmondta, hogy miután több kormányzat is blokád alá vonta az oldal infrastruktúráját, a WikiLeaks összes dolgozója 40 százalékos fizetéscsökkenést fogadott el annak érdekében, hogy az oldalt fent tudják tartani. Az aktivista közölte, hogy

"belefulladnak a dokumentumokba"

annyi bejelentés érkezik hozzájuk. Assange szerint a kérdés most az, hogy elő tudnak-e teremteni elég jövedelmet ahhoz, hogy az iratokat teljes egészében feldolgozzák.

Persze a nonprofit számára a pénztelenség a jéghegy csúcsa. Assange-ot Svédországban szexuális erőszakkal vádolják, az USA-ban pedig öt vádponttal találná magát szembe (többek között kémkedéssel és összeesküvéssel). Szaúdi-Arábia 20 évnyi börtönbüntetéssel fenyegeti, Ausztrália pedig eljárást folytat a WikiLeaks ellen, mivel az publikált egy, a világ vezetőit korrupciós botrányba keverő iratot. Emellett az Egyesült Királyság szerint Assange törvényt szegett, mikor a londoni ekvádori nagykövetségen tartózkodott, és még vagy fél tucat egyéb eljárást folytatnak Assange és a WikiLeaks ellen.

Az interjú legizgalmasabb részei

• a WikiLeaks-t főleg Amerikából és Indiából keresik fel, és leginkább személyekre keresnek rá - melyik kormánytisztviselőről, üzletemberről mit lehet tudni.
• Assange bármikor elmenne Németországba segíti Angela Merkel kancellárnak, akit az NSA hosszú időn keresztül lehallgatott.
• Assange a mostanában kikerülő dokumentumok közül a legfontosabbnak azokat tartja, amik arról szólnak, hogy az USA "megpróbálja megakadályozni az eurázsiai gazdasági integrációt" Nyugat-Európa magához kötésével.

Az Electronic Frontiers Foundation (EFF) nevű San Francisco-i nonprofit 25 éve küzd azért, hogy az Internet szabad hely maradhasson. Az Ars Technica összeszedte az 5 legfontosabb ügyüket, hogy jól beleborzonghassunk, milyen lenne az internet az EFF nélkül.

5 éve ezzel a poszterrel ünepeltek. Forrás: Hugh D'A

Bernstein v. Department of Justice, 1995

Daniel Bernstein kaliforniai PhD hallgató publikálni akarta „Snuffle” nevű titkosító programját – de a szövetségi fegyverhasználati (!) előírások ezt nem engedélyezték. Bernstein szerint ez alkotmányellenes volt, és az EFF képviselte az ügyét. A bíróság itt mondta ki először, hogy a forráskód beszédnek számít, így a szólásszabadságot védő törvények védik ezt is. A feljebbviteli bíróság későb azt mondta, hogy az állampolgároknak joguk van az anonimizált beszédhez.

MGM v. Gorkster, 2005

Az EFF a Streamcast Networks nevű céget védte, ami egy Morpheus-szerű fájlmegosztó szoftvert készített. Bár a Streamcast Networks elvesztette a pert, az EFF szerint győzelem, hogy a Legfelsőbb Bíróság nem volt annyira szigorú, mint amennyire a szórakoztatóipar szerette volna – pl. az úgynevezett Betamax doktrínát fenntartotta. Ez az az elv, ami alapján technológiát nem lehet tiltani, ha annak jelentősek a copyright-ot nem sértő felhasználási módjai is.

Hepting v. AT&T, 2009

Snowden még Snowden előtt: az AT&T telekom szolgáltató egyik alkalmazottja,  Marc Klein elment az EFF-hez, és elmondta nekik, hogy felfedezett egy olyan helységet a szolgáltatónál, amiben az adatokat az NSA felé küldik. 2009-ben az ún. FISA-szabályzat végül retroaktív védelmet biztosított azoknak a szolgáltatóknak, akik adatokat küldtek az NSA-nak.

Jewel v. NSA, 2008 (még nincs vége)

A Marc Klein által nyilvánosságra hozott adatok alapján Carolyn Jewel AT&T vásárló beperelte a szolgáltatót – szerinte az, hogy az NSA-nak juttattak adatokat, alkotmányellenes.

In re National Security Letters, 2013 (még nincs vége)

A National Security Letter gyakorlatilag egy FBI által kiadott bírósági végzés, ami tiltja, hogy a bírósági tárgyalásban részt vevők nyilatkozzanak az ügyről – 2003-2006 között több, mint 200 000 ilyen végzést osztottak ki. Az EFF szerint ez alkotmányellenes.

Forrás: bbc.com

Izraeli kutatók előálltak a számítógépek rádiójeleit elkapni képes hordozható, pitába is beleférő eszközzel.

Mikor a CPU különböző adatokat dolgoz fel, más-más ritmusú rádiójeleket bocsát ki, ha játszunk, vagy ha dokumentumot olvasunk. Ha akkor figyeli az eszköz a gépet, mikor az titkosított email-t olvas be, akkor képes lesz összerakni a titkosítás kulcsát.

Eddig az eszköz max 50 cm-ről működik, ezért a nagy szakikat még nem igazán nyűgözte le. Pedig még Portable Instrument for Trace Acquisition (Hordozható nyom-megszerzési eszköz, PITA) névre is elkeresztelték!

A magyar verzió remélem majd gyulaiba is belefér.
 

A jelszóemlékeztetőnél pénteken észleltek gyanús aktivitást, majd hétfőn a cég egy blogposztban bejelentette, hogy hackerek hozzáfértek LastPass felhasználói listákhoz, jelszóemlékeztetőkhöz, és titkosított mester-jelszavakhoz.

A cég a veszély minimalizálása érdekében javasolja a többlépcsős beléptetést (amikor telefonon keresztül a felhasználók egy egyszeri jelszót is kapnak), és közölte, hogy újraállítják a mester-jelszavakat is - bár szerintük a jelszavak feltörése szinte lehetetlen. A LastPass ugyanis nem csak, hogy random számokat illeszt a jelszavai végére, hanem több, mint 100 000-szer titkosítja is őket - a hash-eket így nem egyszerű feltörni.

A LastPass-t először négy éve törték fel, de egy, három hete az imgur-ra feltöltött kép szerint a Google már jelezte, hogy nincs egyedül a felhasználó belépéskor:

A New York Times javaslata szerint tehát csak óvatosan, ha emailt kapunk LastPass-nak látszó email címtől, hogy adjunk meg új mester-jelszót.

Egy, a BBC-nek nyilatkozó kormánytag szerint a Kína és Oroszország által feltört dokumentumok fontos információt tartalmaztak arról, hogy működnek a britek az ellenséges országos területein, ezért az ügynökeiket ki kellett vonniuk ezekből az országokból. Ez viszont ahhoz vezet, hogy nem tudnak Kínából és Oroszországból "életbevágóan" fontos információt szerezni. A Sunday Times szerint a Snowden által ellopott 1.7 milliónyi dokumentumból az oroszoknak 1 millióhoz már hozzáférése van.

Ahogy arra a BBC is rámutat, a hír két nappal azután érkezett, hogy az Egyesült Királyságban elkészült az új, megfigyelési törvények tárgyalásához szükséges háttér-riport, ami több hatalmat kíván adni a nemzetbiztonsági intézményeknek, ugyanakkor szorosabb megkötést is.

Bár Snowden többször hangsúlyozta (például a lenti interjúban is), hogy az általa megszerzett információkat a lehető legnagyobb óvatossággal kezelik, 2014-ben a New York Times véletlenül már nyilvánosságra hozta az egyik dokumentumok összeállító NSA-ügynök nevét.

A Financial Times által összegyűjtött 500 legnagyobb európai cég közül 244-től már loptak el dolgozói adatokat. Amerika sincs jobb helyzetben, ott az 500 legnagyobb közül 221-től loptak hasonló adatokat. (Recorded Future)

(A képen az NSA, náluk úgyis megvan az összes ilyen adat.)

Egy új zsarolós vírus (ransomware) bukkant fel, amely titkosítja a megtámadott gépen tárolt fájlokat, és "váltságdíjat" követel értük. A TeslyCrypt február és április között 76 522 dollárt, azaz több mint 20 millió forintot hozott a hackerek konyhájára.

A Fireeye biztonságtechnikai cég a Bitcoinok útját követve azt találta, hogy az 1231 fertőzött gép tulajdonosai közül 163-an fizettek - hátha visszakapják dokumentumaikat.

A csütörtöki bejelentés alapján a Firefox böngésző nemsokára nem fogja hagyni, hogy az SSL nélküli honlapok olyan "érzékeny" applikációkhoz férjenek hozzá, mint a webkamera. A sima http protokollal rendelkező oldalakkal való kommunikációba ugyanis egy hacker könnyen bele tud nézni.

A Vox információi szerint a Google is hasonló lépést tervez a Chrome-ban, és az SSL-lel nem rendelkező oldalakat a Google már most alacsonyabb keresési helyekre is sorolja.