15. Dla kogo praca w IT (oraz podatność w F5)

Cześć, witamy Was w 15. części pogadanki Emacsem przez Sendmail. Nasza pogadanka okazuje się być dosyć nieregularną w ostatnim czasie, ale no tak jakoś wychodzi, że obowiązki służbowe i też odpoczynek, który gdzieś tam nam się należy w dłuższe weekendy utrudniają nam zsynchronizowanie się czasowo i spotkanie w trójkę. Mam nadzieję, że nam to wybaczycie. Z drugiej strony nie męczymy Was zbyt często i nie musicie słuchać tego naszego Jak to mówią, jedyną stałą jest zmienna. Jedyną stałą jest zmienna. Chociaż nie wiem, czy jakby tak nie zerknąć w kalendarz, to czy się nie okazuje, że my się dosyć regularnie spotykamy. Bez miesiącu przynajmniej. No właśnie tak mi się teraz nasunęło, że chyba co miesiąc mniej więcej to wypadło ostatnio.

Właśnie tak, żeby nie zmęczyć widzów. Mam nadzieję, że nam to wybaczycie. Słuchajcie, z ciekawostek, które w ostatnich dniach, tygodniach gdzieś tam zapadły mi w pamięć, myślę, że warto przytoczyć podatność w dużych dosyć urządzeniach sieciowych marki F5. F5 to jest taka marka, którą może nie każdy zna, ale jest to dosyć duży i poważny producent sprzętu używanego głównie w dużych infrastrukturach, ponieważ to są takie urządzenia, które głównie tam, gdzie są potrzebne rzeczywiście duże przepustowości i duża wydajność są używane, więc głównie w sieciach providerów internetowych, w sieciach dużych.

Oczywiście jeżeli to uwierzytelnianie odbywa się po SSL-u, to ta warstwa szyfrowania SSL-owego czy TLS-owego teraz nas chroni przed przechwyceniem tej komunikacji, natomiast ogólnie nie jest to najlepsze Rozwiązanie, ale w tych F5, które tutaj z rodziny Big IP okazały się podatne, no był taki dosyć gruby błąd i nawet mi się to, nie chcę wierzyć, że to był błąd, ja bardziej to widzę tak, że to było jakieś zamierzone chyba, tak, pozostawienie takiego backdoora, no bo tam okazało się, że na etapie uwierzytelniania sprawdzany jest tylko login, tym nagłówkiem http out, Jeżeli wyślemy tylko poprawny login, to hasło tak naprawdę dowolne użyte będzie prawidłowe.

Okazuje się, że można w ten sposób zdalnie wykonać dowolny kod, Na tych urządzeniach, które gdzieś tam w tle pracują pod kontrolą Linuxa i na tym Linuxie, co ważniejsze, z uprawnieniami roota to zdalne wykonanie kodu się odbywało. Także jeżeli słucha nas ktoś, kto za taką większą infrastrukturę odpowiada i jeszcze o tym nie słyszał, to warto się na pewno zainteresować aktualizacją. Po raz który już jakby sprawdza się to że nieważne jak duży jak poważny producent i jak drogi sprzęt służący do zapewnienia bezpieczeństwa w naszej infrastrukturze by nie gościł to jest on tak samo podatny i tak samo należy dbać o jego aktualizację o to bezpieczeństwo bo wszyscy najwięksi producenci w zasadzie jak byśmy sobie zobaczyli statystyki to nie ma żadnych

Tak, właśnie chciałem o tym wspomnieć, że już chyba kiedyś też o tym mówiliśmy przy okazji innej podatności, że pozostawienie otwartych do internetu Dla kogo praca w IT oraz podatność w F5. Zostawiać, a rzeczywiście jak sobie przejrzymy historię takich podatności w tych interfejsach zarządzających, ja pamiętam też, pisałem o tym zresztą artykuł na Open Security, taką podatność w routerach Huawei, którą przypadkiem wykonując gdzieś testy u jakiegoś klienta zauważyłem, że skanowanie gdzieś tam

Nmapem zwykłym tego urządzenia, jednym ze skryptów, o których nie miałem świadomości, że one są, ale puściłem takie skanowanie z użyciem wszystkich dostępnych skryptów i okazało się, że był jakiś taki skrypt, który sprawdzał jedną ze starych dosyć podatności w Huawei polegających na tym, że gdzieś tam przy pomocy SNMP można było to urządzenie odpytać o konfigurację i w tej konfiguracji były też loginy, hasła wszystkich użytkowników tego urządzenia. Które były jakimś tam pseudo szyfrem niby zaszyfrowane ale były też dostępne gdzieś tam na GitHub narzędzia do tego żeby ten szyfr złamać. Czy bardziej to był pewnie kod niż szyfr. No i co na szybko zrobiłem gdzieś tam znajdując Dla kogo praca w IT oraz podatność w F5.

Do paru innych i gdzieś tam podziękowali mi później ludzie z tych certów, bo rzeczywiście nie mieli świadomości o tym, że coś takiego występuje. Także nie tylko usługi od portów zarządzających, ale też usługi, okazuje się, czy porty odpowiedzialne za monitoring, takie jak SNMP na przykład. Znowu, jeżeli nie mamy potrzeby, nie powinniśmy tego na zewnątrz udostępniać. To może tyle z takich dobrych porad w kontekście głośnych ostatnich podatności. Piotrek, Ty mówiłeś, że masz jakieś ciekawe statystyki Jeśli chodzi o co? W ogóle o rynek IT. Jeśli chodzi o pracowników IT w Polsce, jak wiadomo, jest wielkie zapotrzebowanie i to zapotrzebowanie rosnie.

Rosja daje w ogóle specjalne jakieś granty dla pracowników IT, zwolnienia podatków i w ogóle niesamowite rzeczy, żeby w ogóle tych informatyków utrzymać, więc jak już dają takie no naprawdę poważne przywileje, to naprawdę w Rosji zaczyna brakować ludzi znających się na technologiach. To mi się też... To mi się też gdzieś w oczy rzuciło, a to zwłaszcza przy okazji tych ostatnich obostrzeń i restrykcji, które w związku z wojną wprowadzono w Rosji, że tam jednak jest duża część społeczeństwa, które jest świadome tego, co się dzieje, nie wszyscy w tej ich bańce informacyjnej żyją, a pewnie osoby, zwłaszcza z branży IT, z branży technologicznej, mają jednak lepszy dostęp do tych informacji, wiedzą, jak obejść te

Natomiast w przypadku Rosji myślę, że Rosja nie jest chyba atrakcyjnym miejscem do migracji dla obywateli O 30% zwiększyła się liczba specjalistów IT pochodzących z Europy Wschodniej, którzy rekrutują. To są statystyki dotyczące Polski. No ciekawe. Ja przyznam szczerze, że jakoś mnie to nie martwi. Nie boję się raczej o to, że ktoś nam pracę zabierze. Tej pracy wiadomo, że jest cały czas dużo, a osobiście nawet postrzegam w tym jakąś szansę może na to, że te problemy z brakiem specjalistów się rozwiążą, bo to są

To stanie jest na rynku duże. Firmy dużo otwierają tych stanowisk. Korporacje też dużo przenoszą, zwłaszcza do Polski, bo jesteśmy stosunkowo interesującym rynkiem dla Zachodu. Także ssanie jest tu bardzo duże na rynku w Polsce. A no pytanie teraz skąd wynika to, że jest tak mało, stosunkowo mniej absolwentów niż było kiedyś? No nie wiem, widocznie ludzie może stwierdzają, że studia nie są im potrzebne do znalezienia pracy w IT właśnie dlatego, że to ssanie na rynku jest takie duże. Tutaj właśnie może nie do końca jest to, że ludzie nie chcą, może też nie chcą, ale też jest duży tak naprawdę problem dostania się na studiów, no bo jest jedno miejsce, na jedno miejsce walczy 10 osób, więc tutaj też jest problem, że rząd tutaj nam nie umożliwia tej nauki i ja nie mówię tutaj, żeby otwierać więcej studiów, bo według mnie tak naprawdę to zwykłe techniką wystarczy chyba nawet, żeby wyszkolić osobę, która spokojnie może pracować w IT, nie musi być wielkim tam

Tak naprawdę jest dużo osób w IT, które ukończyły zupełnie inne kierunki, zupełnie nie związane z IT i się przepranżawiały, po prostu robiły jakieś odpowiednie kursy szkolenia i to wystarczyło, żeby zacząć swoją karierę w IT, a jeśli masz umysł otwarty, analityczny, to już tam dalej sobie jakoś poradzisz, już ogarniesz całą resztę. Także z tego to może wynikać też trochę. Wydaje mi się, że spokojnie, gdyby rząd zwiększył tą liczbę technikum i wszystkich, to byśmy mieli więcej, według mnie, specjalistów, bo tak naprawdę dużo osób może się odbija. Albo tak naprawdę trzeba dużo mieć takiej siły, żeby wyjść z swojej strefy komfortu i zacząć się uczyć, przebranżowić już. Dla kogo praca w F5.

Nie był dobry w szkole z matmy i go tam nie interesowały przedmioty ścisłe, no to on raczej na to IT. Właśnie chciałem to powiedzieć, że miałem w szkole średnio takiego kolegę, który bardzo dobrze był z informatyki, ale nie poszedł na studia IT, bo mówił, że jest sobę z matematyki i sobie po prostu nie poradzi. I na IT nie skończył ostatecznie, a myślę, że poradziłby sobie doskonale. Także pytanie, czy te studia trochę nie trzeba przeprofilować, czy tej matematyki czasami nie jest za dużo. Czy muszą być studia, czy po prostu te technika, czy studia rzeczywiście mogą być dla ludzi, którzy będą super specjalistami, ale też jest duże zapotrzebowanie do zwykłych ludzi, tak zwanych cioraczy, którzy pracują w serwis desku, pracują jako jakieś podstawowe rzeczy i dopiero później z doświadczeniem mogą, nie muszą od razu startować na stanowiska super seniorów czy devopsów i innych, tylko po prostu...

Wszelkie prawa zastrzeżone. Co też ubolewam i to według mnie ewidentnie łączy się to co mówicie z tym, że właśnie jest trochę takie, że musisz się znać na matematyce, że musisz się tam, no jest to, że bardzo techniczny. Wiesz co, ale to akurat nie jest problem, bo na przykład na matematyce jest dużo kobiet, bo większość zostaje nauczycielkami potem, więc ja nie wiem z czego to wynika. Jak ja byłem na UAM-ie, był Wydział Matematyki i Informatyki, na informatyce było bardzo dużo chłopaków, a na matematyce było bardzo dużo kobiet. Dla kogo praca w IT oraz podatność w F5.

I przed pandemią były zajęcia z programowania, z robotyki. Oczywiście trzeba było dopłacać niestety do tego, ale powiedziałem, że dobra, niech idzie, fajne rzeczy. 500 plus wjechało, więc... Tak, niech coś się wyda. I co się okazało, myślałem, że będzie jedną dziewczynką w klasie, w zajęciach, a tam było większą ilość dziewczyn. Więc ewidentnie w tym podstawówce te dziewczyny mają zainteresowania tym informatycznym. Niestety pandemia przyszła i te zajęcia się skończyły, ale też to jest szkoła w wielkim mieście i płatne. Nie każdy chce stać na te dodatkowe parę stówek miesięcznie na zajęcia dodatkowe dla dziecka.

Po szkole, którą skończyłem, kończyłem liceum jakieś tam gastronomiczne, czym już się pewnie nieraz chwaliłem, że taki mój początek kariery zawodowej to... To nie było gotowanie, to było liceum w zawodzie kelner bufetowy. Także mogę podać do stołu. A to są różne rodzaje kelnerów, tak? No taki był kierunek akurat na jakimś tam liceum zawodowym w Poznaniu w gastronomiku, ale do czego zmierzam? Wtedy te technologie, informatyka, komputery to było takie wow, bo Bo było to coś nowego. Internet w Polsce się dopiero pojawiał, gdzieś tam przed rokiem 2000. Pamiętam pierwsze modemy, pierwsze instalacje i to było interesujące dla ludzi młodych.

Natomiast dzisiaj ktoś, kto ma te tam naście lat, to on się urodził w epoce Internetu, urodził się w epoce komputerów, gier. No i to jest dla niego codzienność, to nie jest coś, co jest dla niego jakimś tam nowym światem, który musi odkrywać i do którego jest ciężki dostęp, więc może to jest tak, że to jest po prostu już mało seksi i tak patrząc po młodzieży i patrząc na zmieniające się czasy, no to jest chyba też trochę tak, że teraz jest taki O, Piotrka widzę wyrzuciło, ale mamy nadzieję, że wróci. Myślę, że jest taki bardziej hype na taką wolność, na takie zawody wolne, niewymagające jakichś stałych obowiązków, jakieś podróże, turystyka.

Myślę, że to w tej chwili jest bardziej takim... Ale ile osób może wyjrzeć z podróży i turystyki? To jest pytanie. Czym się ci ludzie będą zajmowali ogólnie, skoro nie IT? Pytanie, czy ktoś mając tam, kończąc szkołę podstawową, mając tam 15 lat czy 14, czy on jest w stanie się nad tym zastanowić. To nie jest tak. Ja pamiętam, było to dawno, ale mniej więcej pamiętam, jaki był mój Wybór wybrałem liceum gastronomiczne, bo tam się było po prostu łatwo dostać, było mniej osób na jedno miejsce i oczywiście no później było jakieś tam szkoła policealna już informatyczna, były dwa kierunki informatyki na OEM-ie, na Polibudzie, ale na początku to w ogóle nic nie wskazywało na to, żebym ja gdzieś tam w tą

Dla kogo praca w IT oraz podatność w F5. Podstawowej no ona tak naprawdę jest takim takim wyborem który mocno nas nakierowuje na jakieś określone tory i to nie do końca jest tak że to nie jest taka droga bez odwrotu natomiast większość osób niestety nie podejmuje już tego wysiłku. Robią to nieliczni i większość tkwi w tym, co gdzieś tam na jakimś wczesnym etapie kariery postanowili, natomiast jest to niestety błąd, bo często zamiast się męczyć w jakimś tam profilu, który nas za bardzo nie interesuje, wybraliśmy go przypadkowo albo przypadkowo się dostaliśmy, no to jednak warto ten wysiłek.

Tak jak mówisz, to nie jest droga bez odwrotu. Jest bardzo dużo osób, które właśnie są po zupełnie innych, niezwiązanych z IT studiami i się po prostu przebranżowiło i sobie bardzo dobrze rodzi w swojej branży. I to nie od razu po studiach je przebranżowiło, tylko parę lat po studiach będąc w innym zawodzie i to naprawdę nie jest nic trudnego. Tutaj to ja znam odwrotną osobę, która jest informatykiem i bardzo nie lubi zawodu, a tak naprawdę chciałby być kelnerem. Nie, być w takim budowlance. Wykończeniówka bardzo go zawsze kończyła. A to też kusząca propozycja. Ale jego ojciec zawsze mówił, nie, że co tam ten, boś, zawód ten. I dlaczego mówi, że interesująca, bo w prefuzorium ostatnio był w ogóle taki wielki rekonesans i najbardziej poważanych zawodów wśród Polaków.

No, jesteśmy, nadal nasz zawód jest jakoś tam poważany, szczególnie na przyjęciach urodzinowych, kiedy trzeba coś tam rodzinnego, kiedy trzeba coś naprawić. O, ty pracujesz w IT, bo im się ostatnio drukarka popsuła. Tak, dokładnie, więc my to jeszcze troszkę wiemy, bo mamy jakiś tam serwis zespoł, ale ci biedni programiści, to oni w ogóle przecież i tak mają maki, on się nie psuje, a tu przychodzi ktoś z Windowsa i musi to naprawić, to jest dopiero... Problem. Więc takie niestety są tu. No dobra, słuchajcie, to myślę, że nie będziemy przedłużać, bo tak zerkam, że zbliżamy się do tych naszych 30 minut powoli.

Mamy nadzieję, że gdzieś tam trochę was zachęciliśmy do tego, żeby jeżeli się gdzieś czaić jeszcze i zastanawiacie nad ewentualnym przeprofilowaniem, To żeby podjąć tą walkę i... A tutaj jeszcze jedną rzecz dodam, bo właśnie pamiętam a propos tego profilowania, to ciekawy właśnie system był w Australii, gdzie rząd sam wspierał, patrzył jakie są największe zapotrzebowanie i sam tworzył właśnie takie kursy, które zajmują, w ogóle mają za zadanie właśnie przekwalifikować osoby i na nie mógł się każdy bez problemu zapisać. Zadarmo i tam były prowadzone właśnie zajęcia i dużo było właśnie informatyków tam z tych, ale także na przykład serwisantów do klimatyzacji czy innych, więc no może to też jest rozwiązanie, że rząd powinien po prostu więcej w tą edukację taką prostą, kursową, technikum na przykład czy takie rzeczy zainwestować.

No jest to na pewno jakiś pomysł. Dobra, słuchajcie, to tak podsumowując jeszcze, dajcie nam znać, bo tak z obserwacji gdzieś moich też kontaktów, które mam z osobami, które gdzieś tam śledzą bloga i listę, subskrybują, to wydaje mi się, że dużo jest takich osób, które tym bezpieczeństwem, mówiliśmy o IT ogólnie, ale bezpieczeństwo oczywiście jest Jedną z gawędzi tego IT i dużo osób wydaje mi się cały czas jest takich, które gdzieś tam się czają I chciałyby, ale brakuje im sposobów na to, żeby tą wiedzę pozyskać. Ja też nie ukryłam, że tak od dłuższego czasu myślę nad tym, jak tutaj zaradzić tym problemom.

Gdzieś zbieram maile, jeżeli gdzieś tam bloga odwiedzacie, to widzieliście pewnie, że taki formularz tam zapisu do e-mentoringu związanego z security na stronie wisi, ale powiem szczerze, że cały czas różne inne obowiązki, trochę mi to Utrudniałem, ale widzę, że tych osób na tej liście przybywa. Tam chyba z 400 osób już ostatnio jak zaglądałem, to się na tym formularzu zapisało. Także dawajcie znać w komentarzach czy w jakiś inny sposób. Piszcie do mnie, jeżeli macie takie potrzeby. Czym więcej takich impulsów będę dostawał, tym bardziej może mnie to jakoś zmobilizuje, żeby jakoś usystematyzować takie działania, które planowałem Przygotować w postaci jakiejś listy mailowej, jakichś może spotkań online, gdzie będziemy tą wiedzę taką od zera trochę starali się przekazywać.