Cybergadki #6 - Wojciech Dworakowski

Cześć wszystkim, to są Cybergadki. Z tej strony Werka i Adam. Naszym gościem będzie dzisiaj Wojtek Dworakowski. Ekspert w dziedzinie bezpieczeństwa IT. Porozmawiamy o początkach w branży Cyber Security w Polsce, testach penetracyjnych, a także jego działalności w OWASP. Zapraszamy do wysłuchania odcinka. Słuchacie podcastu 17 53c. Cybergadki. Zapraszamy. Cześć Wojtku, dziękuję, że przyjąłeś dzisiaj nasze zaproszenie do podcastu. Cześć, to ja dziękuję za zaproszenie mnie. Dobrze, to startujemy w takim razie. Chciałam dopytać przede wszystkim, jak twoja przygoda zaczęła się z cyberbezpieczeństwem? Czy od zawsze wiedziałeś, że to będzie twoja kariera? I tak i nie, no od zawsze to pewnie nie, bo gdyż to będąc dzieckiem pewnie miałem jakieś inne marzenia, ale tak.

Mam na myśli IT. Nawet samo podejście do cyberbezpieczeństwa widziały się tak na przestrzeni kilkunastu już lat. Powiedz mi, czy twoim zdaniem zmierzamy w dobrym kierunku? I to tak całkowicie ogólnie. Tak, to znaczy widać postęp w tym. Widać, że te wszystkie wysiłki, które czynimy, żeby systemy i aplikacje były bardziej bezpieczne, są bardziej bezpieczne. Aczkolwiek... Jakbyśmy rozmawiali 20 lat wcześniej na przykład, to wydawało mi się, że wiele problemów już dzisiaj dawno pokonamy, tak? Jak weźmiecie sobie, nie wiem, prezentację czy z OWASP-u, konferencję czy z jakichś innych,

Ale w skali i tak spowodowało, że ilość tych podatności jest większa. No tak, tutaj właśnie ta skala chyba jest najistotniejsza. No tak i my w przewidywanie, to tak różnie z nami, bo pamiętam był też taki film, który pokazywał, że Kilka lat temu powinniśmy mieć już latające deski, takie dyskorolki. Tu mam na myśli powrót do przyszłości, ale z tego co wiem, chociaż ciekawsze tam były te buty, które się zakładały i dopasowywały się do stopy. To w ramach takiej dygresji. A powiedz mi, gdzie tutaj w tym wszystkim miejsce na twoje zaangażowanie w OWASP-ie? Skąd to się wzięło? No bo inicjatywa oczywiście jest międzynarodowa, ale jak to jest, że zaangażowałeś się w to i jak wyglądała twoja

To, co tam robiłeś właściwie od tego. Tak się zastanawiam, skąd to się wzięło i jaki był pierwszy mój styk z OWASP. OWASP jest dość, że tak powiem, starą organizacją, chyba ponad 20 lat w tej chwili. No i gdzieś w mojej pracy oczywiście korzystałem z ich materiałów. Wcześniej i dosyć szybko, bo test bezpieczeństwa, kiedyś to się nazywało audytem bezpieczeństwa, na szczęście dosyć szybko udało się wyedukować klientów, że test to nie jest audyt. Ale tak czy inaczej ze strony banków dosyć... Często kiedyś zamawiali testy bezpieczeństwa ludzie, którzy kiedyś się zajmowali audytem.

No i trzeba było przyzwyczaić się do mówienia ich językiem. Jeżeli audyt, to jest potrzebny jakiś wzorzec. No a przy teście bezpieczeństwa wzorca nie mamy. No ale jednak trzeba się na coś powołać i to jest zresztą zdrowe, żeby mówić, że no to nie jest, że wiesz, przyjdę, coś poklepię w komputer i powiem, że jest dobrze albo źle, no nie? Tylko istotne jest też przy teście bezpieczeństwa, jaki jest zakres tego testu i nie tylko to, co znaleźliśmy, ale też miejsca, w których szukaliśmy, ale nie znaleźliśmy. Więc trzeba się do czegoś odwołać. No i tutaj OWASP dosyć dobrze nam służył, dlatego, bo z jednej strony mamy top ten, który jest jakimś stanowistą zagrożeń, którą powiedzmy można by było sprawdzać i się podeprzeć tym, Teście, rozmawiając z audytorem po drugiej stronie.

Z drugiej strony mamy na przykład ASVS, który jest fajną, długą checklistą, gdzie można powiedzieć, że zrobiliśmy to i to i wykryliśmy takie i takie podatności, a to znaczy, że cała reszta, no nie udało nam się znaleźć tego typu podatności. Więc stąd jakby taki pierwszy kontakt z OWASP-em i pamiętam, że no spodobało mi się, że jest to w takim duchu open source, wszystko tworzone i otwartych standardów i że każdy może się do tego dołączyć, skomentować, poprawić i tak dalej. No i też zacząłem jeździć na ich eventy, jakieś spotkania, konferencje, etc. W tym czasie powstał chapter w Polsce, w Krakowie, w którym mieszkam.

Był założony przez Andrzeja Targosza i Przemka Skowrona. Pozdrawiam ich, a nie, przepraszam, jeszcze przez Roberta Pająka również pozdrawiam. I tak, no i zacząłem chodzić na spotkania. Później to przejął Przemek Skowron. Na powstanku Skowronie stojąłem ja, bo Przemek gdzieś tam miał mniej czasu wtedy na organizację spotkań. No i tak jakoś zostało po dzień dzisiejszy. To może jeszcze powiedzmy o okazji, jak często się spotykacie i gdzie. Trzeba takie inicjatywy promować przecież. To jest ta przestrzeń na autoreklamę. Spotkania OWASP uprzejmie ja w Krakowie, bo w tej chwili OWASP się w Polsce wziął z Krakowa.

Później powstały grupy w Warszawie, w Poznaniu, we Wrocławiu. I w Katowicach czy na Śląsku? I każda z tych grup ma jakiś tam swój pomysł na to, jak się spotykają. Ja mogę mówić o Grupie Krakowskiej, bo tutaj w zeszłym roku postaraliśmy się, żeby nasze spotkania były bardziej regularnie. Trochę chyba wzorując się na waszej grupie, bo zafascynowało mnie też, że zawsze przyjeżdżacie, ktoś od was jest u nas na spotkaniach OWASPowych, a też wiem, że wy się spotykacie bardzo regularnie i według takiego ustalonego schedule'u, więc tutaj dzięki wam to mnie też zainspirowało do tego, żeby takie mieć Co do miejsca to był to bar Techis, ale muszę powiedzieć, że był, bo wczoraj się dowiedziałem, że został zamknięty.