08 junio 2010

Top de WhiteHats famosos ¿a cuántos conoces?

Aunque el título del post parece una aplicación Facebook (sólo faltaría que fuera "Qué WhiteHat famoso eres") como la de Lost, en realidad me llamó la atención una presentación online que ví en la que se destacaba una recopilación de personajes relevantes internacionalmente en el mundo de la seguridad.

Esta gente han sido noticia en todos los medios por lo trascendental de sus descubrimientos, aprovechados de forma ética, poniendo sus servicios al fin de crear en vez de destruir (aunque en ambas situaciones se gane fama y dinero)

Entre los de la presentación me gustaría destacar a los siguientes:

  • Dan Kaminsky: Chico de moda en 2008 por descubrir una grave vulnerabilidad en el protocolo DNS, repitió en 2009 por la vulnerabilidad del caracter nulo en el nombre de los certificados SSL X.509: "banco-to-spoof\0.atacante.bancobueno.com", que permitiría crear certificados para hacer phising en sitios SSL que algunos navegadores darían como "verificados".
  • Charlie Miller: Ganador de varias ediciones del conocido concurso de hacking Pwn2own especialista en encontrar fallos y destripar sistema operativo y dispositivos del fabricante de la manzana mordida.

Por añadir alguno más de los conocidos a nivel internacional, sugeriría a Moxie Marlinspike (creador de la herramienta SSLStrip), Gordon Fyodor (creador de nmap), Martin Roesch (creador de Snort), el profesor D.J. Bernstein (creador de Qmail, DJBDNS, daemon-tools,...), Alexander Peslyak (más conocido como "Solar Designer", creador de la herramienta John the Ripper) etc,…

Posiblemente me deje un montón de personajes dignos de estar en este particular Hall of Fame... y tú, ¿los conocías a todos? ¿Olvido a alguien que crees indispensable en toda recopilación de WhiteHats que se precie?

13 comments :

José dijo...

2 más: Richard Bejtlich y Paul Assadorian...

des dijo...

Yo pondría a Jeremiah Grossman en la lista. Siempre me gustó su trabajo. Slds!

borja dijo...

Bajo mi modesta opinión yo añadiría a Mark Russinovich

Anónimo dijo...

Sotirov, los clásicos Johnny Long. Mitnick

Anónimo dijo...

Didier Stevens :D

jon dijo...

Opino que resulta algo pecaminoso incluir a Charlie Miller y no incluir a Dino Dai Zovi, Alexander Sotirov o Mark Dowd. Esencialmente se dedican a lo mismo y éstos últimos tienen un palmarés más abultado.

RoMaNSoFt dijo...

Lo primero, la vulnerabilidad del \0 en el SSL, si no recuerdo mal, fue de Moxie, ¿no? (no de Kaminsky).

Lo segundo, la lista desde luego no veo que sea muy equitativa, estoy con Jon, faltaría muchísima gente mucho más interesante que bastantes de los que has puesto. No es fácil escribir un post así pero ya que lo haces pienso que deberías haberte documentado más!!! (y esto es una crítica de amigo, no te lo tomes a mal, please).

Por ejemplo, mucha peña del security team de Google (lcamtuf, etc), sólo por nombrar alguno Aunque mi lista sería inmensa, admiro a muchísima gente, conocida y no tan conocida.

Sobre estos últimos (aunque entiendo que no era el focus del artículo), pásate por los CTFs y verás la de gente buenísima que hay por ahí y cuyo nick probablemente no habrás escuchado en la vida (gente que no busca fama o que incluso prefiere ser anónima) :)

Es la diferencia entre ser un técnico MUY bueno o ser un "security-pr0n star", que no son la misma cosa ;-) Repito, que esto último no era la temática del post pero creo que merece la pena desmontar el tópico de que en la seguridad sólo cortan el bacalao 10-20 personajes conocidos que se dedican a dar charlas en la blackhat :)

Saludos.

Juan Antonio Calles dijo...

Estoy con Borja, Mark Russinovich

Lorenzo Martínez dijo...

@Todos -> Muchas gracias por aportar vuestros whitehats favoritos... aunque no sé yo si Mitnick lo consideraría White, Black o Gray ahora mismo :D La idea era coger de entre los que salen de las slides los más "conocidos".

@Borja y Juan Antonio Calles -> Estoy de acuerdo olvidé a Russinovich.

@Jon y @RomanSoft -> Evidentemente podía haber incluido a unos cuantos más que cortan el bacalao, pero entonces no hago un post legible por la mayoría de los mortales, sino que sería para una saga o un ladrillo,... enorme de largo.
Por otro lado estoy completamente de acuerdo contigo, hay mucha gente que se dedica en cuerpo y alma a la seguridad, y por supuesto que españoles también. Por otra parte, la idea era incluir en este post a los más universalmente conocidos. Piensa, Román, que este blog lo lee público con diferentes perfiles: unos muy muy técnicos y muy metidos en el mundo underground y otros menos técnicos y como bien apuntaba hoy Gonzalo Álvarez Marañón en "El Arte de Presentar", no puedes contentar a todos: http://elartedepresentar.com/2010/06/08/si-quieres-que-tus-presentaciones-tengan-exito-no-busques-contentar-a-todos/

No obstante acepto tu crítica y la agradezco como algo constructivo. Por cierto, que lo que apuntas del bug del \0 del SSL, según las fuentes que yo tenía, fue un descubrimiento que hicieron ambos, Kaminsky y Moxie... Sin embargo, ya que luego añadiría a Moxie en mi lista de Whitehats, no quise nombrarlo antes.

Muchísimas gracias a todos, en unos días editaré y añadiré los que se sugieran.

Anónimo dijo...

Michal Zalewsky

LeGNa dijo...

Debe ser complicado crear un topten y no dejarte a nadie.
Sirven de todos los tiempos?
tienen q ser actuales?

-incluiría también a Gerald Combs por ethereal

Lo q apunta @Romansoft es cierto, hay mucha gente buena q se mantiene casi en el anonimato, pero muchos de nosotros (me incluyo) no los conoceríamos, por lo que esta lista dejaría de ser para "famosos".
Tal vez para un nuevo post?

Lorenzo Martínez dijo...

@Todos -> Muchas gracias por aportar vuestros whitehats favoritos... aunque no sé yo si Mitnick lo consideraría White, Black o Gray ahora mismo :D La idea era coger de entre los que salen de las slides los más "conocidos".

@Borja y Juan Antonio Calles -> Estoy de acuerdo olvidé a Russinovich.

@Jon y @RomanSoft -> Evidentemente podía haber incluido a unos cuantos más que cortan el bacalao, pero entonces no hago un post legible por la mayoría de los mortales, sino que sería para una saga o un ladrillo,... enorme de largo.
Por otro lado estoy completamente de acuerdo contigo, hay mucha gente que se dedica en cuerpo y alma a la seguridad, y por supuesto que españoles también. Por otra parte, la idea era incluir en este post a los más universalmente conocidos. Piensa, Román, que este blog lo lee público con diferentes perfiles: unos muy muy técnicos y muy metidos en el mundo underground y otros menos técnicos y como bien apuntaba hoy Gonzalo Álvarez Marañón en "El Arte de Presentar", no puedes contentar a todos: http://elartedepresentar.com/2010/06/08/si-quieres-que-tus-presentaciones-tengan-exito-no-busques-contentar-a-todos/

No obstante acepto tu crítica y la agradezco como algo constructivo. Por cierto, que lo que apuntas del bug del \0 del SSL, según las fuentes que yo tenía, fue un descubrimiento que hicieron ambos, Kaminsky y Moxie... Sin embargo, ya que luego añadiría a Moxie en mi lista de Whitehats, no quise nombrarlo antes.

Muchísimas gracias a todos, en unos días editaré y añadiré los que se sugieran.

borja dijo...

Bajo mi modesta opinión yo añadiría a Mark Russinovich