Jakub Kałużny

Starszy specjalista ds. bezpieczeństwa IT

SecuRing

jakub-kaluzny

Zawodowo zajmuje się analizą nietypowych protokołów komunikacyjnych, testowaniem zabezpieczeń aplikacji webowych i mobilnych wysokiego ryzyka, a także oceną bezpieczeństwa infrastruktury i kodu źródłowego.

Aktywnie prowadzi projekty researchowe, które prezentuje na międzynarodowych konferencjach, m.in. BlackHat Asia, HackInTheBox, Positive Hack Days, OWASP AppSec EU oraz CONFidence. Wcześniej z powodzeniem brał udział w programach Bug Bounty (m.in. Google), a także projektach open-source.

twitter/j_kaluzny

Pokaz live: Przechwytywanie ruchu w niestandardowych protokołach sieciowych

Istnieje mnóstwo narzędzi umożliwiających przechwytywanie ruchu HTTP/HTTPS, co świetnie się sprawdza podczas testowania aplikacji webowych oraz mobilnych. Jednak podczas testów penetracyjnych specjalizowanego oprogramowania "embedded" lub "grubego klienta" często spotykamy się z nieznanymi i nieudokumentowanymi protokołami sieciowymi. Takiej warstwy pośredniczącej nie da się obsłużyć za pomocą szeroko dostępnych narzędzi "local proxy", a bez zrozumienia i rozłożenia protokołu na czynniki pierwsze, testowanie "backendu" jest bardzo ograniczone. Z naszego doświadczenia wynika, że pod przykrywką nieznanego protokołu, stanowiącego zabezpieczenie typu "security by obscurity", często znajdują się kompletnie niezabezpieczone mechanizmy łamiące wszelkie zasady dotyczące bezpiecznego programowania.

Umiejętności prelegenta

  • Breaking stuff 81%
  • Hacking 82%
  • Application Security 83%
  • Beer drinking 100%