Black Hat Europe '09: Entrevista a Jeff Moss

Como ya os adelantamos estando en la Black Hat, tuvimos la oportunidad de entrevistar a Jeff Moss, fundador de este congreso y también de la DEFCON, para que nos contase más información sobre la noticia de que el año que viene la edición europea venga a nuestro país, entre otros temas.

Queremos dar las gracias desde aquí a Dirk Sell, encargado de la parte de prensa del evento por concertarnos esta cita, y al propio Jeff Moss por dedicarnos un poco de su tiempo que justo coincidía con uno de los descansos entre charla y charla.


SecurityByDefault: Lo primero de todo, preguntarte sobre la noticia que para nosotros como españoles más nos ha sorprendido, y es que la próxima edición de la Black Hat Europa se traslade desde Amsterdam a Barcelona. ¿Qué más nos puedes contar?

Jeff Moss: Pues en principio se tiene previsto que se realice en el hotel Rey Juan Carlos, entre los días 12 y 15 de Abril. Pondremos más información en la página principal en una semana o dos, cuando tengamos datos más concretos sobre si finalmente es en este hotel y demás.

¿Cual es el motivo, después de tanto tiempo celebrando esta edición europea en Amsterdam, por el cual se ha decidido moverla a Barcelona?

Realmente, es que no podemos seguir creciendo aquí en Amsterdam. A mi me gusta muchísimo Amstedam, pero este es el hotel más grande que pudimos encontrar. Actualmente tenemos dos tracks, pero lo que realmente me gustaría es tener tres, por lo que necesitamos finalmente un lugar en el que poder seguir creciendo. Buscamos en Praga, Paris, Alemania, buscamos también en Viena y Barcelona. Intentamos escoger las fechas más adecuadas, atendiendo a las dimensiones de los hoteles.

Es que son muchos aspectos a tener en cuenta...

Si, es más, nos va a costar más dinero celebrarla en Barcelona que lo que nos cuesta aquí, por el tema de impuestos y demás, alrededor de un 10% más realizando el mismo evento. Pero lo que nos da es esperanzas de conseguir más espacio para crecer, porque vemos que aquí no hay posibilidad de expandirnos mucho más.

Supongo que estarás al tanto de que justamente la conferencia SOURCE que se celebra en Boston, este año tendrá su edición en Barcelona.

Si si, lo sé, y es curioso, porque ellos tenían intención de hacerla en Amsterdam, pero como nosotros estábamos aquí, decidieron que sería más conveniente irse a Barcelona. Cuando yo les comentaba mi idea de hacerla el año que viene en Barcelona ellos dijeron "ah, pues entonces si eso nos tocaría ir a Amsterdam a nosotros" (risas)

Menuda coincidencia...

La verdad que si, su intención era intentar no hacerla en el mismo lugar en el que la hacíamos nosotros, y cuando los vi en DC me comentaron que finalmente habían elegido Barcelona.

Queríamos preguntarte también sobre la DEFCON, como fundador al igual que lo eres de Black Hat. Sabemos que el punto de vista y la finalidad entre las dos conferencias es distinta, pero la DEFCON es conocida también a nivel internacional aunque únicamente se celebre en Estados Unidos. ¿Se ha pensado alguna vez también en realizar ediciones fuera de Estados Unidos al igual que sucede con la Black Hat?

Bueno, en realidad tenemos grupos DEFCON en otros países. Lo que hacemos es apoyarles en caso de que quisieran realizar algo, como por ejemplo reunirse, promover charlas o lo que sea. Pero ya hay muy buenas conferencias de hacking alrededor del mundo, así que no quiero competir directamente con ellos. Prefiero apoyarles con lo que hacen localmente, en vez de venir "desde fuera".

En realidad es un concepto de conferencia distinto en según que aspectos

Si, pero probablemente si algún grupo quisiese cabría la posibilidad de montar algo juntos, pero ahora mismo en lo que más centrado estoy de cara al año que viene es en impulsar los grupos DEFCON. Veo mejor invertir mi energía en apoyar a estos grupos en vez de crear desde cero más DEFCONs en otros países.

¿Y también poner más dedicación en la Black Hat?

Si exacto. Cancelamos nuestra edición en Japón, y estamos negociando la posibilidad de ir a Singapur u algún otro país del medio-este. Ahora estamos analizando qué tipo de eventos hacemos y haremos. Tenemos lo de Barcelona, quizás lo de Singapur, también podríamos hacer algo en Australia y demás. Estamos atravesando un año bastante malo en todos los aspectos.

¿Entonces habéis notado esta crisis mundial de la que tanto se habla?

Totalmente, es más, hemos perdido alrededor del 15% de asistencia en esta edición. Que al final te paras a pensar y tampoco es un dato muy negativo, teniendo en cuenta que otras conferencias han sufrido un decremento casi del 40%. Así que realmente, en todas las convenciones de seguridad ha disminuido algo la asistencia. La semana que viene estaré en la RSA de San Francisco, y ya comentan que alrededor de un 30%. Otros eventos tenían un 70% y al final se han echado atrás. Así que lo interesante este año será ver quién es capaz de sobrevivir a lo que atravesamos. Lo único que podemos hacer es aguantar y estar a la espera.

Ahora mismo estamos dedicando la mayor parte de nuestra energía en el desarrollo de un portal social de la Black Hat.

Es lo que expusiste en la introducción de este año ¿verdad?

Si, por ejemplo, cada mes tenemos Webinars, así que la idea es que la gente pueda seguirnos día a día en todas las actividades y construir así una especie de portal social de seguridad. Nuestra intención no es competir con sitios como Bugtraq por ejemplo o un Facebook, ya que son comunidades ya establecidas. Lo que nos interesa es establecer un sitio sencillo en el que se pueda seguir todo nuestro contenido, ya sea revisando material que se presentaría en un futuro, charlas enviadas, aportando posts o feeds de blogs propios con temas interesantes, aunque en un principio se presentasen a un público menos reducido.

Es algo interesante porque seguramente a mucha gente le de algo así como "miedo" o respeto a publicar y enviar sus artículos o documentos.

Exacto, lo que queremos es que se mantengan las discusiones o debates con más regularidad, y no sólamente cuando haya un evento, porque ahora mismo se habla mucho cuando llega una Black Hat, y cuando termina ya no se sabe nada, y así sucesivamente. Así que nos preguntamos el cómo podríamos hacer para que la gente siguiese con esta experiencia. De ahí surgió la idea de empezar primeramente con un sitio pequeño, y que poco a poco se vaya creando una experiencia ya consolidada.

Hay mucha gente que no es consciente de que Black Hat no son sólo conferencias de seguridad cada cierto tiempo, si no que existe una serie de eventos virtuales que son capaces también de reunir a muchas personas.

Ahora mismo existen sitios geniales como por ejemplo SecurityFocus y demás, que aportan noticias de actualidad, etc, y para nada queremos sustituirlos. Hace un tiempo comenzamos un grupo en Linkedin a modo de experimento, y ahora tenemos unas 3.000 personas unidas a él, lo que nos hizo ver que la gente se interesa por nosotros, así que es cuando nos planteamos empezar nuestro propio grupo. Además estudiábamos formas de poder distribuir nuestro contenido tanto en audio como en video. Y claro, por ejemplo un video de una hora de duración, subirlo a YouTube no parece muy viable, Google Video está de capa caída, blipTV nos pareció muy buena alternativa, pero de repente nos veíamos con la situación de "Vale, lo comparto por torrent, lo pongo online, lo pongo por descarga directa, que si BlipTV...". Ahí es cuando te das cuenta de que te pasas la mayor parte del tiempo subiendo el mismo contenido una y otra vez por todas partes, y cuando la gente lo quiere ver... ¿a dónde se dirige?

Por lo tanto, con esta nueva iniciativa también esperamos que nuestros visitantes puedan comentar estos contenidos, por ejemplo "se ha equivocado en el minuto 35, no tiene razón, no estoy de acuerdo" y cosas así. Lo que está claro es que si no podemos conseguir esta funcionalidad con otro sitio, lo mejor es que lo hagamos nosotros mismos.

Sobre el tema de los papers que os llegan como candidatos a dar una charla, ¿existe una gran cantidad año trás año, hay diferencias entre eventos?

Es curioso, porque por ejemplo, para nuestra edición anterior de Washington DC, tuvimos muy buen contenido pero en realidad no tuvimos muchísimas contribuciones. Las que nos llegaron fueron geniales, pero por algún motivo no hubo muchas propuestas. Para Amsterdam, si que nos llegaron muchísimas propuestas. Creemos que mucha gente prefiere esperar a los eventos que hacemos en verano, a los que nos llegan alrededor de unas 400 presentaciones.

El hecho de tener aquí únicamente dos tracks dificultará más todavía el filtrar que presentaciones pasan y cuales se rechazan o posponen.

Totalmente, a mi lo que me gustaría aquí es tener tres tracks, porque por ejemplo con ese número, creo que podríamos disponer de más variedad en la temática que se presenta, y así atraer a otros tipos de audiencia para poder seguir creciendo como comentaba antes. Ahora mismo con estos dos tracks me siento como "encerrado", llevamos unos 9 años en Europa y ya necesito los tres. Estos últimos cuatro años lo he intentado duramente, pero al final nunca era posible. Cuando encontramos este hotel que acababa de ser construido dijimos "por fín podremos tener el número que queríamos", pero no ha sido posible.

La tendencia últimamente en otras conferencias es la de realizar streaming de sus conferencias aún teniendo que pagar entrada, para que todo el mundo desde su casa pueda seguirlas.

Si bueno, nosotros vendemos los videos de las conferencias. Los codificamos, después los recodificamos a otros formatos como por ejemplo para ipods y demás, los compilamos y los repartimos. Pero durante aproximadamente los primeros 3 o 4 meses nos los distribuímos públicamente, ya que las ventas son las que pegan todo lo que implica esta edición de videos. De repente llegando a ese primer cuarto de año, las ventas decrecen considerablemente y es ahí cuando decidimos publicarlos a todo el mundo. De lo que nos hemos dado cuenta es de que muchas empresas compran nuestro contenido para ofrecerlo como formación interna a sus empleados, por ejemplo colgando los videos en su intranet y demás. Recibimos peticiones de Gobiernos y otras muchas compañías. Al resto de gente no le importa mucho el esperar unos pocos meses para ver ese material de manera visual, así que lo que hacemos es distribuir sin problemas la información, pero para poder pagar los costes de esa producción tenemos que retrasar un poco su publicación.

Pensamos en lo del streaming, pero cuando empiezas a tener en cuenta los costes de montar la infraestructura necesaria y otros detalles, y se te pasan por la cabeza cosas como que la conexión wireless del hotel se cae y no se qué... al final te das cuenta que no merecen la pena esos dolores de cabeza. Quizás si fuese una conferencia de una escala muchísimo mayor si, pero creo que ahora es algo que no merece ese esfuerzo.

Bueno, esto es todo, no vamos a robarte más tiempo, muchas gracias por atendernos y esperamos poder hablar contigo en otra ocasión.

¡Por supuesto! Nos vemos entonces...espero...el año que viene.

---

Hasta aquí la entrevista, que se realizó el día 17 de Abril de 2009. Pronto os traeremos el resumen del día 2 de esta Black Hat 09 Europe celebrada en Amsterdam.

[+] Resumen Black Hat '09 Europe: Día 1 (16 de Abril)

Etiquetas: blackhat09eu , entrevistas , eventos