Mi visita al Pentágono

Pues sí caballeros, he visitado el Pentágono el pasado mayo gracias a un evento organizado por el DARPA (Agencia de Proyectos de Investigación Avanzados de Defensa del Departamento de Defensa de Estados Unidos) llamado “Demo Day”, donde se presentaba lo último en proyectos de ciberseguridad, robótica y tecnología militar, entre otras muchas cosas, y tengo que decir que fue toda una experiencia :)

pentagono

Mi asistencia al evento se debe que a VULNEX participó en el DARPA Cyber Fast Track (CFT), (por cierto, única empresa española) con un desarrollo en tecnología para mejorar la seguridad del software (más información sobre el proyecto aquí). A continuación os dejo una captura de la tecnología que creé para el proyecto: BinSecSweeper.

binsecsweeper_v08

El primer día del evento, miércoles 21, tuve la oportunidad de ver el Plan X, un programa para realizar operaciones militares en el ciberespacio controlado mediante gafas de realidad virtual o una pantalla táctil a lo más puro estilo Johnny Mnemonic, un impresionante brazo robótico para soldados heridos en combate, gamificación aplicada a la seguridad informática, cascos militares con realidad aumentada, así como todo tipo de soluciones en ciber seguridad. ¡Todo muy espectacular!

El segundo día, jueves 22, fue en exclusiva para las personas que habíamos participado en el CFT: éramos unos 100 stands en el patio interior del Pentágono, donde teníamos que exponer nuestras demos y atender a todos los visitantes. En mi stand tuve el placer de charlar y presentar BinSecSweeper a gente del US Cyber Comand, Navy, Army, NSA, la academia de West Point, contratistas de defensa y personas de todo tipo de agencias ;) Sin duda, una experiencia muy interesante.

El tercer día, viernes 23, estuvimos en el Steven F. Udvar-Hazy Center, Museo Nacional del Aire y Espacio, y fue increíble. Durante todo el día los participantes del CFT estuvimos en la sala de conferencias debatiendo sobre diversos temas y el estado actual de la ciberseguridad, pero lo mejor fue por la tarde, cuando a las 18:00 cerraron el museo y nos lo dejaron entero para nosotros. Os puedo decir que es uno de los mejores museos en que he estado nunca: pudimos ver todo tipo de aviones de la Segunda Guerra Mundial, helicópteros, un concorde, el mismísimo Blackbird o incluso el transbordador Discovery (todo auténtico ;). ¡¡Recomiendo visitar este museo alguna vez en la vida!!

discovery
blackbird

Aunque el CFT ya finalizó, espero que en algún momento vuelva el programa y que el DARPA siga apoyando a individuos y pequeñas empresas como VULNEX que tienen altas capacidades de innovación.

Agradecer a la gente del DARPA y BITS la fantástica organización del evento y por supuesto haber podido participar en el CFT.

Más información del evento aquí.

Twitter: @simonroses

Publicado en Conferencia, Hacking, Seguridad, Tecnologia | Etiquetado , , , , , , | Deja un comentario

Heartbleed: sangre, dolor y código

La semana pasada todas las alarmas saltaron cuando se publicó un grave fallo de seguridad llamado Heartbleed en la librería criptográfica OpenSSL, que utilizan tanto una gran parte de los servidores en Internet así como mucho software de seguridad.

Como no podía ser de otra manera, las teorías conspiracionistas hablan de este bug introducido o abusado desde hace tiempo por la NSA. Lo que sí está claro es que este bug deja en evidencia que el software Open Source no es más seguro si nadie lo mira (se ha tardado dos años en identificar este fallo!!!!) y si no se siguen unas prácticas de desarrollo seguro.

Desconozco si el equipo de OpenSSL utiliza algún marco de desarrollo seguro, pero que un solo programador pueda realizar cambios al código sin ningún tipo de validación ¿? es un error mucho más grave que el propio bug.

Sin duda es un duro golpe a la comunidad Open Source que se suele presentar como más seguro, ya que cualquiera puede ver el código. Este fallo demuestra que solo por ser código abierto no es garantía suficiente.

No me cansaré de repetirlo: da igual que seas software Open Source o software comercial, que tu empresa solo desarrolle software de uso interno o que tengas un ISV que te desarrolla a medida, siempre se necesita un marco de desarrollo seguro como el MS SDL, BSIMM o OpenSAMM.

Esperemos que este bug sea una llamada de atención para todo el que desarrolle software sobre la importancia de la seguridad e invertir en ella.

Y puedo confirmaros que este bug funciona a la perfección ;)

¿Qué opinión te merece este bug?

— Simon Roses Femerling

Publicado en Hacking Etico, Seguridad, Tecnologia | Etiquetado , , , , , | Deja un comentario

Españoles en la Black Hat ASIA

Ya estoy de vuelta de la Black Hat ASIA 2014 en Singapur, donde tuve el placer de dar una charla sobre seguridad de tecnologías multiplataforma para desarrollar apps en móviles. La Black Hat ASIA no se hacía desde el 2008 y la última vez en Singapur fue en el 2003, ¡cómo pasa el tiempo!

srf_bhasia2014_1

En el evento coincidimos varios españoles, como Jose Miguel Esparza con su taller sobre análisis PDF, Leonardo Nve sobre ataques DNS y por último Alberto García Illera y Javier Vázquez Vidal sobre hacking en coches.

El evento tuvo lugar en el increíble hotel Marina Bay Sands (si no lo conocéis, os recomiendo que hagáis una búsqueda en Google) con una gran acogida de unos mil asistentes. En la cena de speakers nos llevaron a un conocido restaurante chino donde pudimos probar diversas especialidades y ponernos finos a base de vino tinto de la Rioja (argentina ;) ; luego, como no podía ser de otra manera, ¡exploramos la noche de Singapur!

srf_bhasia2014_2

Mi charla fue la primera del primer día del evento y fue todo un éxito: una sala llena de gente incluso de pie, ya que no había sillas para todo el mundo, y muchas preguntas, algo atípico en la cultura asiática, por lo que quiero dar las gracias a todos los asistentes!!

Mi primera vez en Singapur, pero sin duda no será la última, quizás el próximo año 

Mi ponencia disponible en la web de VULNEX.

— Simon Roses Femerling

Publicado en Conferencia, Hacking, Hacking Etico, Seguridad, Tecnologia | Etiquetado , , , , | Deja un comentario