Entrevista a Miguel Gesteiro

Recuerdo a Miguel Gesteiro el día que nos tomamos el primer café con calma, en la Universidad Pública de Navarra (UPNA). La memoria no me da para discernir si era un evento de la Gira Up To Secure 2007 o si fue con motivo de una NavarParty o qué otro evento, que allí he dado muchas charlas a lo largo de mi vida. El caso es que nos lo tomamos allí y me sorprendió muchísimo que hubiera venido un gallego desde tan lejos. A los 10 minutos de hablar, a Miguel se le notaba su amor por la seguridad informática. ¡Estaba empapado de todo! Se conocía a las personas y las empresas del sector mejor que yo.

Figura 1: Miguel Gesteiro

Desde entonces han sido muchas las experiencias que hemos tenido juntos. Hemos compartido cursos de verano, conferencias en Galicia, viajes a Las Vegas o Argentina, y mil y una charla en los eventos en que hemos coincidido. Además, tiene como afición artística la fotografía, por lo que si un día hay que hacer un documental de hackers en España, hay que pedirle a él las fotos. Muchas, bonitas y de buena calidad.

Miguel es especial para mí porque un día dejó todo por seguir su pasión a la seguridad informática. Es un ejemplo de que si se quiere se puede. Serio, disciplinado, detallista y emprendedor. Además, no lo hizo de joven como él mismo cuenta, así que su esfuerzo fue aún mayor. Ha invertido tiempo y dinero en formarse, se ha esforzado en certificarse y ha seguido estudiando constantemente. Para mí es un ejemplo que pongo a la gente, y por eso le quise hacer esta entrevista.

Saludos Malignos!

1.- ¿Qué hace un gallego como tú paseando por Frankfurt?

Pues aprovechar una oportunidad profesional que me brindaron un par de amigos y que me llevó al Banco Central Europeo.

2.- Para los que no te conozcan... ¿Quién es Miguel Gesteiro? ¿Cuál es tu historia dentro del mundo de la informática?

Pues soy el n-ésimo niño de los 80 que fué seducido por la microinformática que empezaba por aquel entonces (Spectrum's, CPC's y demás cacharros), y que ya nunca lo pudo dejar. Como curiosidad decir que mi primer ordenador ya fué un PC, los aparatos de 8 bits eran todos de amigos.

3.- Lo dejaste todo por dedicarte a la seguridad informática... ¿no fue una apuesta muy arriesgada?

Tan arriesgada como inevitable :) No me iba nada mal en el campo del desarrollo hasta que un día ocurrió lo inevitable: nos pwnearon un sistema con una inyección SQL. Aquello me fascinó y acabó siendo una de las semillas que me llevaron al cambio, un cambio que llegó relativamente tarde en mi vida profesional y del que no me he arrepentido.

4.- Después de tu historia ¿qué le recomendarias a un joven de esos que pregunta qué hacer para dedicarse a la seguridad informática?

La pregunta del millón. Hoy en día ya existe formación reglada que cualquiera puede cursar, pero mi recomendación es que hagan aquello que les apasione, sea seguridad IT o cuidar perros, y el resto vendrá rodado. Ser curioso, experimentar, querer aprender y estudiar son también más que recomendables cualidades, ¡cultivadlas!

5.- ¿Ekoparty o Defcon?

No renunciaría a ninguna. Son únicas en su especie pero distintas, y muy muy recomendables. He pasado momentos increibles en ambas.

6.- ¿Cuántos españoles has visto trabajando en el banco central europeo?

¿Trabajar?... eh... ¿españoles? ;) unos cuantos, y otros tantos que no llegué a conocer, tanto en la parte de seguridad como en otras áreas.

7.- Miguel Gesteiro en el BCE, Ero Carrera en Google, Diego Ferreiro en Yahoo!, Ángel Prado en SalesForce... ¿Dedicarse a la seguridad informática en Galicia está difícil? ¿No podéis competir con Atar?

Según mi experiencia apenas hay cultura de Seguridad IT en España y el tema se agrava más cuando te alejas de los grandes núcleos económicos como Madrid, Cataluña, Valencia o País Vasco, es decir, no hay mercado. Además, nuestra mentalidad gallega siempre juega en contra, ya que tendemos a valorar lo "de fuera" por encima de lo propio. Es una cuestión de masa crítica entre cultura, oportunidad y mercado, y en ello estamos, empujando para que se acabe creando.

8.- Sé que te gusta leer... ¿qué libros técnicos recomendarías leer?

¡Todos los que se puedan! Ahora mismo tengo a la vista (en papel) "Hacking: the art of exploitation", "Social Engineering: The Art of Human Hacking" y el "CCNA Security official exam certification guide", por mencionar alguno. Pero no recomiendo solo libros "serios", sino todo tipo de publicaciones, desde e-zines, pasando por blogs y cualquier cosa que os aporte.

9.- ¿Y qué libros no técnicos debemos leer para entender mejor a Miguel Gesteiro?

Pues la verdad es que me gusta de todo, desde la ciencia ficción (Dune, Asimov, Clarke...) hasta la filosofía (Descartes o Fromm). Me encantan las novelas "de hackers", e incluso mencionaré dos títulos: "Stealing the network: How to own a continent" y el último gran descubrimiento para mi "Hacker Épico".

10.- Te has paseado por toda España organizando retos hacking y participando en muchos de ellos... ¿qué hay que tener para jugar a un CTF? ¿Y para ganar a RoMaNSoFt?

Para lo primero simplemente ganas: hoy en día hay oferta de sobra. Para lo segundo, y visto lo visto, más bien poco (está obsoleto ;).

11.- Has estado en muchas conferencias y has visto a muchos speakers... ¿cuáles son los que más te han impresionado?

Muchos, pero muy pocos en comparación con todos los que he visto (mucho speaker malooooo). Presentar es un arte, y he visto grandes contenidos de grandes profesionales ser destrozados durante su presentación, y al revés, trabajos sencillos o incluso mediocres muy bien presentados. Te gusta ponerme en aprietos, y aún sabiendo que muchos se quedarán fuera, mencionaré alguno: Johnny Long (@ihackstuff), Hojun Song (@opensat), Chris Hadnagy (@humanhacker) ... y de la escena nacional me quedo con Gonzalo Álvarez (@artepresentar) y las tuyas junto a Palako en la Defcon.

12.- Eres un tío trabajador y disciplinado,... ¿cuál es la rutina de Miguel Gesteiro para estar al día?

Devorar y digerir información de forma continua, casi compulsiva: el lector de RSS, las listas de seguridad típicas (Full Disclosure, Security Focus,etc.) y otras no tan típicas. Reconozco también que me costaría vivir sin Twitter, en el que sigo temas casi exclusivamente profesionales (aunque de todo hay).

13.- ¿Qué tres blogs secretos de esos que no son muy conocidos atesoras en tu lector RSS?

Pues te voy a decepcionar: ninguno. Antes o después, las cosas que yo hubiera clasificado de tal manera, acaban saliendo a la luz y haciéndose populares. Además reconozco que el RSS está perdiendo terreno frente a Twitter.

14.- ¿A qué conferencia que no has ido te gustaría ir a conocer? ¿Y a qué speaker?

Este año me tuve que perder, aún habiendo pagado la entrada y todo, la DerbyCon en EEUU. En España la LaCON. Tengo curiosidad por ver en directo a Kevin Mitnick.

15.- Con tu edad has visto mucho... ¿qué te gusta y qué no te gusta de la seguridad informática?

La industria de la seguridad informática es muy grande. Lo mejor es la gente, la parte creativa, la comunidad. He tenido la suerte de conocer a aunténticos fuera de serie, y no todos salen en las noticias o dan conferencias. Aprender de ellos es un lujo. La parte negativa es la industrial: competitividad, objetivos económicos, todo vale, FUD...

16.- ¿Qué llevas en la mochila cuando viajas? ¿Gadgets? ¿Software? ¿Antenas direccionales?

Mi portátil con VMWare, mi presentador y mi antena wifi usb.

17.- ¿En qué proyectos personales de hacking andas metido ahora?

Ahora mismo en nada en particular. Siempre hay mil ideas en la olla esperando encontrar un hueco para salir, pero otros proyectos no relacionados con la seguridad están ocupando ahora la mayor parte del tiempo. Ya veremos.

18.- ¿Te ves viviendo el resto de tus días fuera de Galicia?

No lo sé. Me gusta el sitio dónde nací, pero salir fuera y conocer mundo es también fascinante y enriquecedor. No pienso mucho en ello, y dejo que la pasión por lo que hago me lleve a donde sea.

19.- ¿Habrá este año conferencias de seguridad en la Universidad de A Coruña?

¡Pues sí! Acabamos de abrir el plazo de Solicitud de Ponencias (o Call for Papers en inglés). Es nuestra quinta edición y tú sabes mejor que nadie las ganas que le ponemos, o no saldría adelante un proyecto así, de este nivel, con tan poco presupuesto y gente. Nos apasiona el mundo de la Seguridad IT y por eso la promovemos, en todos sus aspectos. Es nuestra pequeña aportación. Más info: www.gsickminds.net

20.- ¿Qué deparará el futuro a Miguel Gesteiro ahora? ¿Qué pasa por tu cabeza profesionalmente?

Esa es una buena pregunta. Realmente no lo sé porque justamente ahora estoy en un momento de cambio y puede ser hacia muchas direcciones, aunque dudo mucho que me aleje del mundillo de la seguridad ;)