Entrevista a Nico Waisman

Nico Waisman tiene algo de caballero de novela épica. Cuando le conocí la primera vez rodeado de gente ayudando con los trainings de la Ekoparty del 2009 tenía imán. Era como un veterano de guerra sonriente que al que todos acudían a consultar. Cuando le conoces más, con su barbita deshilachada, su sonrisa perenne y su conversación fácil, te enamora.

Figura 1: Contactar con Nico Waisman

Nico Waisman es uno de esos con los que vale la pena conversar durante horas. Es divertido, es cercano, sabe un montón, tiene experiencia en mil batallas, es genial. Cuando conoces a la manada de lobos devora-mate que tiene a su cargo, que igual despellejan un binario, que a un gallego que pase por allí, te das cuenta que Nico Waisman tiene un halo de mando ganado por el respeto

Figura 2: Niko Waisman

Este año pasado, además de disfrutar con el juego de combate que publicaron en la Ekoparty en el que me metieron para que la gente disfrutara dándome patadas en el culo, le disfruté viéndole dar una conferencia en la Black Hat 2010 sobre bugs y exploiting de use_after_free. Después de la charla, nos lio para jugar la HackCup, donde el FOCA Team fue, injustamente eliminado, tras la lesión de su capitán. Este fin de semana nos mandó un artículo sobre Cómo explotar Mac OS X con CANVAS usando un use_after_free exploit en Safari, con lo que ya aproveché para liarle en esta entrevista, que espero que os permita conocer a un tipo genial. Gracias Nico, espero con ansia el asado. 

1.- Vale, para los gallegos que no sepan a qué te dedicas, cuéntanos que hace un VP en Immunity.

Jaja, pues VP es un jugarreta americana para sonar más importante, pero la verdad es que llevo adelante las oficinas de Immunity en Sudamerica, esto incluye una serie de tareas tan dispares como hablar con clientes, llevar adelante proyectos y armar esas pesadas planillas de Excel para manejar los tiempos de todos.

Personalmente, me gusta verlo como "El que hace el trabajo aburrido para que los chicos de Argentina no lo tengan que hacer". Sin embargo, 4 o 5 veces al año me toca viajar para dar alguno de los training de Immunity o alguna charla en una conferencia. Y una vez al mes, cuando la luna está en su apogeo, tengo tiempo para abrir IDA y desensamblar algún binario.

2.- Ahora explícame quién es el que dijo... eso de ¿y si en lugar de llevar unas máquinas de demo con Immunity Canvas a la Ekoparty, nos hacemos un juego para la PS3 y tomamos mate mientras la gente se pelea? ¿Ayuda eso a vender Canvas?

Es una buena pregunta, y debo decir orgullosamente que fue el resultado de un brainstorming del equipo un mediodía. Con la mozzarella de fondo, empezamos a discutir toda una serie de disparates sobre lo que podíamos hacer en la Ekoparty, el objetivo era hacer algo en que la gente que se acercara y nosotros mismos nos divirtiésemos. Parece que funcionó, porque hemos tenido muy buen feedback de la gente. La verdad que nuestra presencia escapaba un poco de vender CANVAS, la Argentina no es un gran mercado para este tipo de productos. El objetivo fue pasarla bien y de paso ayudar a los chicos de la Ekoparty con el sponsoreo.

3.- ¿Cuántos exploiters tenéis ahora en Argentina trabajando para Immunity?

En este momento, somos 10 personas en el equipo Argentino y estamos planeando expandirnos un poco más.

4.- ¿Qué hay que estudiar para acabar dando una charla de exploiting en Black Hat y siendo VP de Immunity?

La verdad que no es un tema de estudiar una carrera formal (Aunque claramente recomiendo seguir Ciencias de la computación o alguna carrera relacionada con la matemática). No hay una carrera específica de seguridad informática, y si la hay apenas roza la seguridad ofensiva. Para dedicarse a la investigación hace falta espíritu y golpearse la cabeza contra la pared unas cuantas veces.

5.- En Argentina hay muchísima gente buena en seguridad informática y hacking... ¿son tan buenas las universidades allí en exploiting o es que esto va con el espíritu argentino?

Las universidades tienen poco que ver en esto, si hablas con los investigadores más importantes te darás cuenta que solo un bajo porcentaje terminaron la universidad y su nivel técnico es altísimo. La verdad que hace un tiempo que vengo pensando la razón, y me gustaría, algún día, hacer un trabajo sociológico para encontrar las verdaderas causas, mientras tanto voy recopilando varias teorías que escucho, a continuación te nombro algunas:

a) En los principios de la informática y las redes de comunicación, hubo una importante scene argentina (BBS, ezines como HBO, etc).

b) Tiene una relación directa con la neurosis que sufren muchos argentinos

c) "Algo en el agua"

d) Tiene que ver con una rebeldía que tiene el argentino frente a la ley, y que desemboca en el hacking e) Ciertos demonios que perseguimos los Argentinos.

f) El argentino está acostumbrado a hacer mucho con poco por falta de recursos y constantemente ingeniarse una solución a este problema.

Hay algunas más, como ves son todas muy diferentes pero tienen en común que comparten un elemento de realidad y otro de fantasía.

6.- Para los que no conozcan Canvas pero trabajen en seguridad, descríbenoslo y danos motivos para probarlo. Vamos, que nos lo vendas. 

CANVAS es una herramienta de penetration testing que ya tiene unos cuantos años de desarrollo y maduración. Este framework te permite, no solo poder llevar adelante un penetration test, sino desarrollar tus módulos en base a él. Listar las ventajas y desventajas seria largo y tedioso, y para eso ya lo tienen a Chema Alonso hablando de la FOCA. Solo voy a decir que en Immunity, cuando desarrollamos CANVAS, nos concentramos en hacer los exploits que más sirven a nuestros clientes y por sobre todo, hacerlos bien. 

Y aquí vale aclarar la diferencia entre un exploit hecho por un quinceañero en sus boxes en el sótano de la casa de su madre, frente a un exploit de nivel comercial desarrollado y testeado en varios escenarios. Tenemos, y acá no puedo evitar el orgullo, uno de los mejores equipos de desarrollo de exploits del mundo con gente que venimos contratando desde casi todas partes del planeta, principalmente de Argentina, Estados Unidos y varios países de Europa.

7.- ¿Habrá HackCup este año en la Defcon? Te recuerdo que los Españoles seguimos siendo los campeones del mundo. 

¡¡Claro que sí! Aunque España siga siendo el campeón, no lo demostraron en la HackCup pasada. Esperemos que en la versión del 2011 puedan hacerlo y robarle el título a Sudáfrica.

8.- Me pienso llevar a mi FOCA Team a la Ekoparty este año y la pregunta es... ¿nos invitaréis a un buen asado o tendremos que pedirle a la gente de Core (guiño,guiño) que nos cuide?

Faltaba más, el año pasado hicimos uno pero llegaste tarde o seguramente tenías algún compromiso con tus fans. A ver si este año te venís.

9.- Nico, tú has visto a muchísima gente en este mundo, ¿Quién que hayas conocido te ha impresionado más?

Es una buena pregunta, yo no diría "impresionarme" pero si tengo muchísimo respeto con gran parte de las scene europeas de fines de los '90 y principios del 2000, las cuales entendían al hacking y al desarrollo de exploits como un arte, y lo podías ver en cada uno de sus exploits. Fueron los que desarrollaron la mayoría de las técnicas de explotación que usamos y algunos "reinventan" en esta época. Si uno mira exploit-db o algún otro repositorio/framework de exploits, te darás cuenta como lo que buscan es el impacto por sobre el arte. Es una batalla por ver quién llega primero a desarrollar el exploit sin importar la calidad. Unos cuantos años atrás, era imposible liberar algo así sin tener una condena "moral" por parte de los demás.

10.- Si alguien quisiera aprender exploiting para acabar un día trabajando para ti en Immunity, ¿qué le recomendarías?

Lean todo lo que hay en internet, y escriban exploits sin parar, no tengan miedo en re-hacer exploits existentes, sin duda que va a ser un buen ejercicio para entender, y en la mayoría de los casos, perfeccionarlo.

11.- ¿Qué se pregunta en una entrevista de trabajo para contratar a un exploiter en Immunity?

Las entrevistas de trabajo comienzan con un examen "filtro" por email, que tiene como objetivo probar conocimientos básicos de debugging, desarrollo (Python, C y Assembler) y algunas habilidades básicas. No es difícil, pero nos permite identificar quienes realmente tienen intereses en trabajar con nosotros o no. Algunas de las respuestas, se pueden encontrar invirtiendo algunas horas en Google, pero te sorprenderías como en la mayoría de los casos ni siquiera hacen eso. Luego tenemos una entrevista personal, en el cual hablamos de su vida, experiencias pasadas e intereses.

Dependiendo para la posición que se ofrezca, puede ser que nos pasemos todo un día frente a una computadora desarrollando algo o reverseando algún binario. En la Argentina, tengo la suerte de poder elegir yo mismo a la gente de mi equipo y hay dos cosas que priorizo por sobre cualquier habilidad mágica que el entrevistado pueda tener: Capacidad y ganas de aprender (Y por ende, humildad para hacerlo) y por sobre todo, el factor humano.

Con solo caminar los pasillos de una conferencia, uno se da cuenta de los egos gigantes que te cortan el paso y que son mayoría en el ambiente de la seguridad informática. El narcisismo es la primera razón para que te vaya mal en una entrevista de trabajo.

12.- No te pregunto qué sistema operativo usas porque sé que es Linux... pero... ¿estoy equivocado o usas Ubuntu? ¿Por qué Ubuntu?

Llega una edad, en la que el ser humano tiene que priorizar el concentrarse en su trabajo por sobre pasarse horas arreglando y haciendo funcionar los distintos componentes de su PC. Yo ya estoy en los 30, y pasé la época en que uno compraba Slackware por correo y se pasaba 2 semanas instalando y configurando, para lograr tener una computadora sin red, sonido, video solo en consola pero eso sí, ¡booteando!

13.- Y fuera de la informática... ¿qué le gusta a Nico Waisman? ¿Cuáles son tus aficiones?

Desde exactamente 10 meses atrás, mi única afición es mi hija. En un tiempo lejano, donde podía disfrutar de eso que llaman ocio, me dedicaba a la lectura y el estudio de filosofía.

14.- Todos sabéis que Raúl ha sido el mejor jugador total del mundo y que Casillas es el mejor portero de la historia, pero, centrándonos en ligas menores,... ¿hay algún jugador de futbol que te guste mucho de la liga Argentina?

¿Cuál es Raúl? ¿El que casi gana un Balón de Oro?

15.- Y de lectura no técnica, he visto que tu artículo sobre Canvas para "coger" Mac OS X era muy literario, recomiéndanos 3 libros. 

Recomendar 3 libros, es una de las tareas más difíciles sobre la tierra. Sin pensarlo mucho, alguno de mis favoritos... - Niebla de Don Miguel de Unamuno (y a quienes les gusten los "antiheroes", La conjura de los necios de J.K. Toole) - The great Gatsby de Scott Fitzgerald - El banquete de Platon (Y mi interpretación favorita, "Eros, Demonio Mediador" de Giovanni Reale)

16.- ¿Darás una charla este año en la Ekoparty o tomarás Mate?

La ventaja de tener la Ekoparty "en casa", es que uno puede disfrutarla sin tener que dar una charla y así evitarse el desgaste físico y mental que eso conlleva. Sin embargo, ando pensando alguna idea para una charla, ya veremos...

17.- De todas las conferencias en las que has estado... ¿qué con te ha gustado más y por qué?

Cada conferencia tiene lo suyo, Ekoparty sin duda es una de mis preferidas por la calidad de los speakers, la fuerza de sus organizadores y todos los amigos con los que me encuentro en cada edición. Sin embargo, la conferencia que más me ha gustado es G-CON, una conferencia que se hizo en México en el 2003/2004. Como buen Argentino, la razón de esto es la nostalgia. Fue la primera charla publica que di, y allí conocí grandes amigos que todavía sigo viendo, entre ellos Dave Aitel (el CEO de Immunity).

18.- ¿Sigues blogs? ¿Qué nos recomendarías leer para estar al día?

Seguía blogs, ahora la verdad que sigo gente en twitter y ellos me apuntan constantemente a blogs que te mantienen al día (Mi usuario es @nicowaisman)

19.- ¿Te animarás a participar en el próximo calendario tórrido como el gran Luciano Bello?

Soy un hombre de familia, ¡qué ejemplo le dejaría a mi pequeña!

20.- Seguro que en España hay mucha gente que quiere probar y trabajar con Canvas... ¿Qué pueden hacer?

Visiten http://www.immunityinc.com lean de qué se trata o mándenme un email y los voy a poder guiar. Más allá de CANVAS, en la página de Immunity van a poder encontrar papers y software open source que van a poder bajarse de manera gratuito. Y ya que estoy haciendo publicidad gratuita, en Abril estamos organizando una conferencia por primera vez en nuestra sede central en Miami Beach, denle un vistazo: http://www.immunityinc.com/infiltrate

Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso) (Consigue 100 Tempos gratis con ESET)

Chema Alonso en MyPublicInbox