व्हाइट हैकर्स और CTF

हमारे सेंट पीटर्सबर्ग कार्यालय, रोमन वासिलेंको के एक कर्मचारी ने हाल ही में "हैकिंग" प्रतियोगिताओं में भाग लिया। सूचना सुरक्षा विशेषज्ञों के बीच आयोजित इस प्रकार की प्रतियोगिता के बारे में संपादकों ने कुछ भी नहीं सुना था। हम बहुत बुरी तरह से भ्रमित हैं और रोमन को विवरण साझा करने के लिए कहते हैं।


- रोमा, आपने DEFCON कैप्चर द फ्लैग प्रतियोगिता में भाग लिया। यह एक हैकर प्रतियोगिता है - यह हमारी कंपनी के साथ कैसे फिट है?

- दुर्भाग्य से, लंबे समय तक रूस में "हैकर" शब्द केवल साइबर अपराधियों के साथ जुड़ा हुआ था, हम कह सकते हैं कि वे समानार्थी थे। हालांकि, एक संकीर्ण समुदाय में, सूचना सुरक्षा विशेषज्ञ, वे लोग जो हमेशा सूचना की सुरक्षा में सभी नए रुझानों के "लहर पर" होते हैं, वे हैकर होते हैं। बेशक, सूचना सुरक्षा में एक सच्चा विशेषज्ञ केवल सूचना सुरक्षा के क्षेत्र में ज्ञान के अधिकारी नहीं हो सकता है, हमलावर तकनीकों का ज्ञान भी आवश्यक है।

फ्लैग कैप्चर (सीटीएफ फॉर शॉर्ट) एक हैकिंग प्रतियोगिता है। खेल का सार यह है कि टीमों को एक एप्लिकेशन दिया जाता है जिसमें कमजोर एप्लिकेशन सेवाओं का एक सेट होता है। मुख्य कार्य सिस्टम का विश्लेषण करना, कमजोरियों का पता लगाना, उन्हें घर पर बंद करना और जितनी जल्दी हो सके, कमजोरियों का पता लगाकर प्रतिद्वंद्वी के सिस्टम को हैक करना है। कुछ खेलों में सुरक्षा बुलेटिनों में कमजोरियों का वर्णन करने के लिए अतिरिक्त अंक दिए जाते हैं। लघु में एक प्रकार का साइबर युद्ध प्राप्त किया जाता है।
मुझे यह जानकर खुशी हुई कि हाल ही में रूसी टीमें अधिक सफलता प्राप्त कर रही हैं और "रूसी हैकर्स" न केवल अपराधियों के साथ जुड़े हुए हैं। सामान्य तौर पर, सभी हैकर्स समान रूप से हानिकारक नहीं होते हैं, एक बड़ा व्हाइट हैट समुदाय भी होता है।

- कृपया हमें व्हाइट हैट समुदाय के बारे में बताएं।

- चूंकि हैकर शब्द का उपयोग हर जगह अलग-अलग तरीकों से किया जाता है, विसंगतियों से बचने के लिए, वे साथ आए, इसलिए बोलना, अलग होना। ब्लैक हैट खराब हैं और व्हाइट हैट अच्छे हैकर हैं। यह प्रकाश और अंधेरे जेडी की तरह है, अगर, निश्चित रूप से, इस तरह की तुलना उचित है। हम, निश्चित रूप से, उज्ज्वल हैं, और मुझे लगता है कि लंबे समय तक कटलेट से मक्खियों को अलग करना और ब्लैक हैट-हैकर्स - साइबर अपराधियों को कॉल करना आवश्यक है। हालाँकि यहां एक गलतफहमी है - सबसे बड़े हैकर सम्मेलन को ब्लैक हैट कहा जाता है, जाहिर है उन्होंने एक समय में फैसला किया था कि यह कूलर होगा, मुझे यकीन नहीं है। सामान्य तौर पर, आप इन हैकर्स से ऊब नहीं होंगे।

- और रूस में, इस समुदाय का किसी तरह प्रतिनिधित्व किया जाता है?

- जैसा कि मैंने पहले ही कहा है, "हैकर" और "रूस" शब्द लंबे समय से केवल साइबर अपराधियों के साथ जुड़े हुए हैं, मुझे अच्छे कारणों के लिए कहना चाहिए: आंकड़े बताते हैं कि हमारे विशाल देश में एक ही वायरस लेखकों की एक सभ्य संख्या है और उनके कर्म सादे दृष्टि में हैं। व्हाइट हेट विशेषज्ञ, विभिन्न कारणों से, लंबे समय तक छाया में रहे, और, सामान्य तौर पर, कोई समुदाय नहीं था।

इसका कारण भाषा अवरोध है - विदेशी सहयोगियों के साथ संवाद करने में कठिनाई - और, कुछ हद तक, एंटीवायरस कंपनियों सहित सूचना सुरक्षा में काम करने वाली कंपनियों की निकटता।

लेकिन पिछले कुछ वर्षों में स्थिति बेहतर के लिए बदल रही है। रूसी विशेषज्ञ तेजी से अंतरराष्ट्रीय सम्मेलनों में दिखाई दे रहे हैं (वैसे, यह हमारी कंपनी की योग्यता भी है)। रूसी सीटीएफ टीमें दिखाई दी हैं जो अंतरराष्ट्रीय प्रतियोगिताओं में सफलतापूर्वक प्रदर्शन करती हैं। Defcon-Russia 7812 समूह खोला (संपादक का नोट: 7812 - नाम का हिस्सा, सेंट पीटर्सबर्ग के फोन कोड से गठित) (defcon-russia.ru) - यह आधिकारिक DEFCON समूह है, जिसे dsec (डिजिटल सुरक्षा) से सेंट पॉल के लोगों द्वारा बनाया गया था। इसी समय, समूह का लक्ष्य रूस में आईएस को लोकप्रिय बनाना, ज्ञान साझा करना और विशेषज्ञों का एक शक्तिशाली समुदाय बनाना है। मुख्य आदर्श वाक्य है: "जिस कंपनी के लिए आप काम करते हैं वह महत्वपूर्ण नहीं है - जो ज्ञान आप साझा कर सकते हैं वह महत्वपूर्ण है।" समूह मासिक बैठकें आयोजित करता है, जिसमें आमंत्रित विशेषज्ञ बोलते हैं। वास्तव में, कोई भी इस शर्त के साथ आगे आ सकता है कि वह एक दिलचस्प और गंभीर विषय प्रदान करता है जिस पर वह ज्ञान साझा कर सकता है। साथ ही समूह की एक पहल ज़ीरोनाइट्स सम्मेलन (zeronights.org) है, जो नवंबर में सेंट पीटर्सबर्ग में आयोजित किया जाएगा। अब सम्मिलित हों।

हम अपने लेट मोर टीम (leetmore.ctf.su) के साथ रखने की कोशिश करते हैं, जूनियर पाठ्यक्रमों के लिए सेमिनार आयोजित करते हैं, टीम में नए लोगों को आमंत्रित करते हैं, ज्ञान साझा करते हैं। सामान्य तौर पर, रूस को अब सूचना सुरक्षा के क्षेत्र में प्रशिक्षण के साथ एक बहुत बड़ी समस्या है। इस विषय पर बहुत कम प्रशिक्षण कार्यक्रम हैं, और जो उपलब्ध हैं वे आमतौर पर निराशा के अलावा कुछ भी नहीं करते हैं। यह वहाँ से है कि यह ज्ञान के लिए भूखे लोगों को इकट्ठा करने के लिए निकलता है। मुख्य कारण यह है कि हाई स्कूल वास्तविकता से बहुत तलाकशुदा है, व्यावहारिक रूप से कोई भी शिक्षक नहीं हैं जिनके पास अपना अनुभव है। इसलिए, इस वर्ष मुझे सेंट पीटर्सबर्ग स्टेट यूनिवर्सिटी में एक शिक्षक के रूप में नौकरी मिली और मैं पाठ्यक्रम "मालवेयर रिसर्च का परिचय" पढ़ा रहा हूं, मैं उन सभी ज्ञान को साझा करने का प्रयास कर रहा हूं, जो लोगों के पास हैं, क्योंकि मुझे पता है कि उन्हें खुद ढूंढना कितना मुश्किल है।

- चलो प्रतियोगिता में वापस आते हैं - वे कितनी बार आयोजित किए जाते हैं और कितने लोकप्रिय हैं?

- अब दुनिया में कई प्रमुख प्रतियोगिताएं हैं, जिनमें UCSB iCTF, NuitDuHack, Hack.lu, plaidCTF, RuCTFE और आदि शामिल हैं। DEFCON CTF 1996 से आयोजित किया गया है और उनमें से सबसे पुराना और शायद सबसे प्रतिष्ठित है। इस साल, पहली बार, हमारी रूसी टीम फाइनल में पहुंची और आखिरकार दुनिया भर की ~ 300 टीमों ने क्वालीफायर में भाग लिया। टीम 4 सबसे मजबूत रूसी CTF टीमों के विलय के परिणामस्वरूप दिखाई दी: लेट मोर, हैकरडोम, स्मोक्ड चिकन, सिबियर्स और --IV - "चार" नाम प्राप्त किया। फाइनल में, हमने एक सम्मानजनक 4 वां स्थान प्राप्त किया, जैसा कि आप जहाज कहते हैं, यह पाल जाएगा। सूचना प्रौद्योगिकी सुरक्षा में कैलिफोर्निया विश्वविद्यालय सांता बारबरा (iCTF आयोजकों), कार्नेगी मेलॉन विश्वविद्यालय, POSTECH-पोहांग के कोरियाई लोगों, एक अमेरिकी सरकार की सैन्य कंपनी के विशेषज्ञों के साथ-साथ जापानी, स्पेनिश और अमेरिकी पेशेवरों की टीम के रूप में हम इस तरह के बाइसन से आगे थे।

इसके तुरंत बाद अगली बार टीम का नाम "I" रखने के प्रस्ताव थे।

- सामान्य तौर पर, सीटीएफ के दौरान आपको किन कार्यों को हल करना है? कार्य क्या हैं और वे क्या दिखाते हैं?

- सबसे दिलचस्प CTF अप्रत्याशित CTF है। जितना अधिक नया ज्ञान आप खेल से दूर ले गए, उतना ही अच्छा था। कार्य पूरी तरह से अलग हो सकते हैं, और अगर हर कोई पहले से ही इंजीनियरिंग का उलटा इस्तेमाल करने, नेटवर्क पैकेटों का विश्लेषण करने और कमजोरियों का फायदा उठाने के लिए उपयोग किया जाता है - एक भी CTF इन कार्यों के बिना नहीं कर सकता है, तो मिश्रित कार्यों में एक बार में सूचना सुरक्षा के कई क्षेत्रों को शामिल किया जा सकता है, यहां तक ​​कि एक सीज़न सीटीएफ भी भ्रमित हो सकता है। 'उपनाम।

यहां यह ध्यान रखना महत्वपूर्ण है कि सूचना सुरक्षा में केवल सैद्धांतिक ज्ञान पर्याप्त नहीं है। क्रिप्टोग्राफी में असममित एन्क्रिप्शन एल्गोरिदम के बारे में पढ़ने के लिए यह एक बात है, और आपके सिस्टम को हमलों से बचाने और उन लोगों पर हमला करने के लिए 10 घंटे के लिए एक और बात जो प्रोग्राम चला रहे हैं जो नेटवर्क पर भेजे गए किसी भी कोड को निष्पादित करते हैं, बशर्ते कि वह आरएसए एल्गोरिथ्म द्वारा हस्ताक्षरित हो। यहां आप वास्तव में समझते हैं कि क्रिप्टो एल्गोरिदम के कार्यान्वयन में क्या कमजोरियां हैं, एक छोटा मॉड्यूल क्यों खराब है, एक हमले के लिए इसका उपयोग कैसे करें, और इस तरह के हमले से खुद को कैसे बचाएं। एक ही समय में, यह पूरा सिस्टम लिनक्स कर्नेल मोड में निहित रूप से काम करता है, और कार्यक्रम के लिए कोई स्रोत नहीं हैं। यहां आपके पास क्रिप्टोग्राफी और रिवर्स इंजीनियरिंग, और नेटवर्क प्रोटोकॉल का ज्ञान है।

खेलों में एक टीम की आवश्यकता होती है जिसमें सूचना सुरक्षा और विशिष्ट व्यावहारिक कौशल और सभी क्षेत्रों में एक सामान्य दृष्टिकोण हो। लेकिन, फिर से, सबसे महत्वपूर्ण बात यह नहीं है कि वे क्या मांगते हैं या दिखाते हैं, बल्कि वे खेल के प्रतिभागियों को क्या देते हैं। नए ज्ञान प्राप्त करने के अलावा, यह एक प्रशंसक, नए परिचित आदि भी हैं।
शैक्षिक भाग भी ध्यान देने योग्य है। प्रत्येक गेम के बाद, राइट-अप समस्याओं को हल करने के पाठ्यक्रम के विवरणों को प्रकाशित करने के लिए यह एक अच्छा तरीका है, ताकि कार्य पूरा करने में विफल रहने वाली टीमें इसका पता लगा सकें और नया ज्ञान भी प्राप्त कर सकें। इस प्रकार, खेल का स्तर लगातार बढ़ रहा है, जो निस्संदेह प्रसन्न करता है। हां, और हम भाषा को कसते हैं: उदाहरण के लिए, हम अपने विवरण अंग्रेजी में पोस्ट करते हैं।

- क्या आपको यह पसंद आया? क्या आप भविष्य में भाग लेंगे?

- वास्तव में, मैंने 3 साल पहले प्रतियोगिताओं में भाग लेना शुरू कर दिया था, तब हमारी टीम अभी भी पूरी तरह से हरी थी और उच्च परिणाम हासिल नहीं किए थे। लेकिन समय बदल जाता है - समय बदल जाता है, इसलिए हम पहले से ही लास वेगास से लौट आए हैं, जहां डेफॉन सीटीएफ फाइनल था। अन्य जगहों पर भी उतार-चढ़ाव आते हैं, लेकिन मैं हमेशा खाली समय खोजने और खेलों में भाग लेने की कोशिश करता हूं, क्योंकि, सबसे पहले, मैं अपने विशेषज्ञ स्तर को बढ़ाता हूं।

सामान्य तौर पर, प्रतिस्पर्धा करने के लिए, आपको इच्छा के अलावा कुछ भी नहीं चाहिए। हमारी टीम सेंट पीटर्सबर्ग स्टेट यूनिवर्सिटी ITMO के सुरक्षित सूचना प्रौद्योगिकी विभाग में 3 लोगों (अब हम में से 7 हैं) के साथ शुरू हुई। पहले यह सिर्फ दिलचस्प था कि यह क्या था, फिर एक प्रशंसक, फिर मैं एक परिणाम हासिल करना चाहता था।
उसी समय, हमारे दरवाजे हमेशा खुले होते हैं, हम हर किसी को चाहते हैं जो इसे चाहते हैं, बशर्ते कि उन्हें सूचना सुरक्षा का कुछ ज्ञान हो, समय मिलेगा और नियमित रूप से प्रतियोगिताओं में भाग लेंगे।

- समान परिणाम प्राप्त करने के लिए रूसी टीमों का मौका कितना शानदार है?

- ठीक है, वही अच्छे हैं, लेकिन केवल हम पहले स्थान चाहते हैं और हम इसके लिए प्रयास कर रहे हैं। इसके अलावा, इसके लिए आवश्यक शर्तें हैं। इसलिए, सितंबर में, कई यूरोपीय CTF आयोजित किए गए, जिनमें से प्रत्येक में हमारी टीम (लेट मोर) ने एक पुरस्कार लिया। एक में उन्होंने प्रथम स्थान प्राप्त किया।

बेशक, समस्याएं हैं, जैसे प्रतियोगिताओं के लिए यात्राओं के लिए निरंतर प्रायोजन की कमी, और खाली समय की कमी, लेकिन मुझे लगता है कि हम इसे संभाल सकते हैं और इससे भी बेहतर परिणाम प्राप्त कर सकते हैं। उन सभी लोगों के लिए जो हमारे नक्शेकदम पर चलने का फैसला करते हैं और इस तरह की प्रतियोगिताओं में भाग लेते हैं, मैं कह सकता हूं कि "आपका स्वागत है" - हमसे जुड़ें! सकारात्मक भावनाओं और नए ज्ञान का एक समुद्र आपको गारंटी देता है।

- रोचक इंटरव्यू के लिए बहुत बहुत धन्यवाद!