Bezpieczeństwo

od 14 do 21 kwietnia w Krakowie odbywać się będzie czwarta edycja otwartych szkoleń i prelekcji związanych z bezpieczeństwem - KrakYourNet. zostałem zaproszony, żeby opowiedzieć coś “na temat”, w związku z tym pojawię się 14’ego kwietnia i opowiem trochę o bezpieczeństwie sieci IPv6 oraz sieci operatorskich. ponieważ będę na miejscu całe popołudnie, tematy możemy potraktować jako wyjściowe do dyskusji - jeśli tylko obecni będą zainteresowani interakcją :) do zobaczenia za tydzień w Krakowie!...

jeśli odwiedzacie zachodnie portale, czy też zaglądacie od czasu do czasu na angielskojęzyczną wikipedię, zauważyliście dzisiaj znaczący efekt protestu przeciwko tym dwóm aktom prawnym, które chcą wprowadzić w USA zwolennicy kontroli wszystkich i wszystkiego (z uwagi na - oczywiście - pieniądze). ciekawy punkt widzenia rzuca to również na dyskusję o technologiach cloudowych i ich realnemu zastosowaniu - polecam m.in. ten artykuł, przedstawiający zarys rozgrywek dziejących się na międzynarodowym poziomie. chcemy czy nie, żyjemy już w dużej części w świecie doskonale sportretowanym w książce 1984....

na PLNOGu w trakcie swojej sesji o BGP blackholingu zapowiedziałem, że zorganizujemy dla wszystkich chętnych operatorów bardzo techniczne, ale nie pozbawione elementów zabawy i to dobrej zabawy - szkolenie techniczne z różnego rodzaju mechanizmów i technik do zastosowania w swoich sieciach. mam na myśli blackholing, sinkholing, QPPB, NetFlow a także rzeczy takie jak ochrona szkieletu MPLS/VPLS, utrzymanie mimo wszystko szybkiej konwergencji, dobre praktyki utrzymania urządzeń opartych o IOS, IOS-XE i IOS-XR i wiele, wiele innych....

…najprościej to zablokować - tak zrobi Pakistan, blokując swoim użytkownikom możliwość korzystania z sieci VPN. oczywiście sprawa nie jest prosta, ponieważ z jednej strony kochamy prywatność, z drugiej strony czasami faktycznie dobrze byłoby móc bardzo szybko ustalić kto i co przesyłał w swojej sieci aby zatrzymać wszelkiego rodzaju zwyrodnialców i oczywiście (jakże to teraz popularne i mocno nadużywane słowo) - terrorystów. może to ciekawy temat do publicznej dyskusji? np. na najbliższym CONFidence?...

temat kodu IPsec w OpenBSD wraca ciągle w różnych postaciach. wydaje się dzisiaj, że raczej nie ma powodu do paniki, choć ilość wątków i ciekawych opowieści które przy tej okazji ujrzały światło dzienne jest zatrważająca. w szczególności polecam ten krótki tekst (oraz ten tweet) z odniesieniem do kodu, który po raz kolejny udowadnia, że ekipa odpowiedzialna za OpenBSD, a w szczególności Theo prowadzą delikatnie mówiąc bardzo kreatywny marketing wokół systemu nad którym pracują i po prostu po cichu łatają dziury....

dostawanie się do zdalnych Windowsów przez Remote Desktop jest w momencie pracy na konsoli lub na łączu które nie oferuje radości posiadania jakiejkolwiek przepustowości po prostu męką. tak się złożyło, że parę takich maszyn stoi w różnych miejscach - i fajnie byłoby mieć do nich zdalny dostęp. na pomoc przychodzi cygwin (jest jeszcze VanDyke’owy V-Shell, ale troszkę drogi do zastosowań niebiznesowych), który pozwala zastosować prawdziwe OpenSSH i wszelkie korzyści z tym związane (SCP/etc)....

jak co roku zespół inżynierów Cisco opiekuje się kwestiami związanymi z zabezpieczeniem dostępu sieciowego dla całej infrastruktury Wielkiej Orkiestry Świątecznej Pomocy. w tym roku postanowiliśmy eksperymentalnie uruchomić również dostęp po IPv6 - niestety nie udało się przenieść całości rozwiązania na IPv6 (w przyszłym roku powinno to być już możliwe), ale wszyscy dysponujący dostępem do IPv6 mogą oglądać strony Orkiestry za pomocą adresu ipv6.wosp.org.pl. całość jak widać poniżej pracuje na reverse proxy realizowanym na Apache, FreeBSD i serwerze MCS Cisco :)...

CONFidence 2010 właśnie się kończy, w imprezie znacząco nazwanej ‘game over’. miałem przyjemność uczestniczyć i nawet opowiedzieć o bezpieczeństwie IPv6 (prezentacja znajduje się w dziale prezentacje). małe podsumowanie sesji na których byłem:

na najbliższej edycji konferencji CONFidence, która odywać się będzie wyjątkowo w Pradze, opowiem troszkę ale ze szczegółami o bezpieczeństwie i niebezpieczeństwie związanym z tym jak obecnie IPv6 wdraża się w sieciach i co to dla nas, przeciętnych zjadaczy chleba, oznacza. będzie to swoją drogą również podsumowanie doświadczeń z paru konferencji na których uruchamialiśmy IPv6. do zobaczenia w Pradze!

dostaje bardzo dużo maili (nadal!) z propozycjami tematów którymi mógłbym się zająć - strasznie tego dużo co cieszy, wiele jest też rzeczy o których niestety nie mam pojęcia choć chętnie bym się nimi zainteresował dużo bliżej gdyby nie krótka doba. 19’ego na pewno nie powtórzę numeru z młotkiem i 2500, nie przewidywaliśmy tego typu konkursu. ponieważ widzę, że jesteście gotowi na wiele wyrzeczeń żeby dotrzeć do Krakowa, obiecuje że jak zresztą zawsze pozostanę na miejscu (jeśli będzie to fizycznie możliwe i Andrzejowi uda się to załatwić), odpowiadając na wszystkie możliwe pytania i chętnie podyskutuje o różnego rodzaju pomysłach czy przemyśleniach jakie macie - do upadłego jeśli będzie taka chęć z Waszej strony....

…rusza. zaraz po PLNOGu (w jego trakcie zapewne braknie czasu) ustalimy rzeczy związane z zakresem bieżącej opieki NOCy PLIXowej nad projektem - tak aby nie trzeba było czekać długo na dołączenie do projektu oraz aby z bieżacego monitoringu tego co i jak rozgłaszacie coś wynikało. strona zmigrowała do nowej domeny (jeszcze nie kompletnie - wrzucamy rzeczy na bieżąco), zmieniły się również maile - jeszcze w trakcie PLNOGa można będzie otrzymać pierwsze sesje, wszystkich którzy odezwą się jeszcze przed nim proszę o cierpliwość - jesteśmy teraz de facto wszyscy w drodze i zajęci samą konferencją....

kończę właśnie testy nowych (i nieco ulepszonych) konfiguracji w ramach projektu BGP blackholing. dobra informacja jest taka, że dzisiaj już bardzo wielu dostawców usług w Polsce używa dobrodziejstw między innymi tej techniki, zła - że w projekcie jest zawsze za mało uczestników :) prawdopodobnie już do najbliższego weekendu ruszymy znowu ‘produkcyjnie’ - sesja będzie mogła być i po IPv4 i po IPv6, rozgłaszać będziemy IPv4 (dokładnie tak jak do tej pory) ale dodamy do tego prefiksy IPv6 - oczywiście tam gdzie będziecie chcieli....

tegoroczne CONFidence działo się zdecydowanie szybciej niż dotychczasowe cztery edycje - przynajmniej takie odniosłem wrażenie. ekipa Andrzeja pracowała nad konferencją już od paru tygodni, tym bardziej że dzień przed samą konferencją miał miejsce zlot AppSec OWASPa. ja dotarłem dopiero w środę, na dzień przed warsztatami, które miałem prowadzić. co prawda w tym roku mieliśmy postawić i zadbać o całą infrastrukturę sieciową, a z racji jakże szacownego grona uczestników warto było zrobić to dobrze (i bezpiecznie :) ), ale w środę przylatywał do Warszawy Bruce Schneier - którego miałem z racji mieszkania w Warszawie przetransportować wraz z żoną do Krakowa....

jeśli nie widzieliście mojej praktycznej prezentacji na SecureCON 2007, w najbliższy czwartek będzie okazja to nadrobić - pojawię się gościnnie o 19:45 na AGH w Krakowie aby przez półtorej-dwie godziny w ramach spotkań z cyklu netWork pokazać na żywo i opowiedzieć o mechanizmach bezpieczeństwa w sieci. będzie można na pewno zobaczyć coś nowego w stosunku do zeszłorocznego pokazu i oczywiście porozmawiać. zdjęcia ze spotkania znajdują się tutaj a bliższy opis tego co się działo tutaj....

TP wprowadziła jakiś czas temu dla swoich klientów z BGP usługę blackholingu - Konrad Plich z którym rozmawiałem na poprzednim PLNOGu wykonał niewątpliwie dużo dobrej roboty (choć mail do niego w sprawie rozmów o blackholingu wysłałem jeszcze w 2005 roku…) w firmie aby coś takiego było możliwe (kto pracował choć raz w korporacji wie czym to grozi). Pojawiają się jednak problemy - użytkownicy zaczynają narzekać, że nie mogą osiągnąć serwerów IRC, na POLIPie trwa dyskusja o sensowności takiej ochrony, a posiadacze łącz od TP narzekają na odcięcie od sieci....

mój artykuł o mechanizmach zapobiegania atakom DDoS pojawił się w wydaniu online miesięcznika NetWorld.

na mój apel o konwersję Cisco FAQ PL odpowiedziało do dzisiaj 6 osób…ale niestety do tej pory nie ma żadnych wyników. cóż, być może czas zakasać rękawki i zrobić to samemu… z bardziej optymistycznych rzeczy - tydzień temu skończyłem prowadzić Bootcamp SMB dla partnerów Cisco. było dużo pracy (3 dni po 12-14 godzin), trochę na ten temat można przeczytać w powyższym linku na forum CCIE.PL (na które zresztą serdecznie zapraszam). na koniec sprzęt został spakowany i rozjechaliśmy się do domów....

uruchomiłem właśnie nowy projekt - BGP Blackholing PL. w związku z tym zapraszam serdecznie wszystkich, których: interesuje bezpieczeństwo własnej sieci interesuje bezpieczeństwo styku z operatorami interesuje bezpieczeństwo Internetu chcą aktywnie zwalczać ataki DoS/DDoS na swoją i przez swoją infrastrukturę chcą poznać budowę i działanie mechanizmów BGP …na stronę projektu: http://networkers.pl/bgp-blackholing.

od piątku dostępny jest krótki opis narzędzia tcpdump. czekam na wszelkie wasze uwagi i sugestie, co jeszcze dodać do tego dokumentu.

zostałem zaproszony przez Adama Lange oraz Adama Haertle do podzielenia się swoimi przemyśleniami w podcaście “rozmowa KONtrolowana”. chciałbym podziękować zarówno za zaproszenie, prowadzenie, pytania jak i miły sposób na spędzenie czasu :) bierzcie i oglądajcie/słuchajcie w swoim ulubionym formacie :)