Главная > Uncategorized > Deutsche Post Security Cup

Deutsche Post Security Cup

Третьего дня небольшой десант из нашей команды Bushwhackers высадился в Берлине.
Mission Objective: infiltrate the Deutsche Post Security Cup Award Ceremony and retrieve the second prize. На самом деле, мы, конечно, не знали, какое место заняли, но предполагали, что в Берлин нас пригласили не на чашечку пива.
Вкратце о Кубке. Немецкая Почта этим летом запустила любопытный сервис. Решаемая задача — перевести документооборот между организациями, частными лицами в электронную форму. Таким образом, сервис должен решать целый ряд классических задач ИБ: от обеспечения аутентичности сообщений до неотказуемости. Если адресат почтового сообщения не обладает учетной записью на сервисе, то предназначенное ему письмо просто печатается и отправляется по обычной, бумажной почте. Затея имела огромный успех, что в том числе обусловило серьезные инвестиции владельцев сервиса в обеспечение его безопасности. Финальным шагом в целом ряде соответствующих мероприятий был Кубок Почты. Фактически — это bounty hunt (как у гугла или мозиллы) на уязвимости в сервисе. Особо хочется отметить, что соревнование проводились на production системе, что позволило получить воистину бесценный опыт.

Итоги Кубка оказались следующими:

  • было подано 106 заявок на участие в соревновании;
  • было отобрано 16 команд;
  • за 6 недель соревнования было обнаружено 5 серьезных уязвимостей и 5 уязвимостей средней важности; стоит особо отметить, что все серьезные уязвимости оказались client side, притом 4 из 5 — browser specific; проницательные умы уже сделали целый ряд правильных выводов, не так ли? :)
  • первое место заняла команда из Бохума во главе с небезызвестным Mario Heiderich (см. FluxFingers); кстати, рекомендую ознакомиться с ресурсом, который создан и поддерживается им — http://html5sec.org/;
  • второе место заняли мы, а третье — профессиональная команда UK Hack (контора NGS Secure). Огромные благодарности от нашей команды принимает Владимир Воронцов, которому хочется пожелать находить больше интересных уязвимостей.

Остальной отчет о пребывании на немецкой земле следует далее.
Началось все с того, что 13 декабря мне пришло письмо от организаторов с приглашением на четверых приехать к ним для участия в финальном мероприятии 28 декабря. Ну сказано — сделано: собираем документы для визы, звоним в консульство, а там такие говорят: “собеседование с вами назначено на 13 января, приходите”. Обидно, да? Пришлось писать в консульство слезное письмо, просить организаторов замолвить за нас доброе словечко и т.п. В общем, мы имели огромный успех: собеседование назначили на 20-е, визу дали 23-го, а билеты у нас были на 27-е. Epic Win.

Закон сохранения граблей был иного мнения про нашу поездку. 27-го числа в Домодедово был полный капец: нам еще повезло, что рейс задержали всего на 5 часов. Однако, запас граблей в ту ночь оказался воистину неисчерпаемым: Берлин из-за метели не принимал самолеты. Садиться пришлось в Лейпциге. Прождав час, мы-таки перелетели в Берлин — была уже поздняя ночь (2 часа по местному и 4 по Москве). Как водится, самые большие грабли достались на сладкое: оказалось, что половина багажа нашего рейса не была загружена в самолет. My bag included. Расстраиваться уже не было сил, так что пропажа багажа, а также необходимость в глубокой ночи искать такси (у выхода из аэропорта никого не было) мы встретили со стоическим спокойствием и обреченными улыбками.

Такси-отель-хотим кушать. Оказывается, в 3 часа ночи в столице Германии можно найти еду! Притом только одного типа. Притом такого же, что и в нашей столице. Да, вы правильно угадали — это шаурма на вокзале. Достойное завершение милого денечка, не так ли?

5 часов сна, и новый день. Если бы логический оператор “not” был применим к житейским ситуациям, можно было бы записать примерно такое: 28.12.2010 = NOT 27.12.2010. То есть, просто идеальный день. Прогулка, фотки, обед в аутентичном ресторанчике, церемония награждения, afterparty и т.п. Масса новых знакомств, впечатляющая речь Марио, познавательные беседы с организаторами соревнований и с другими командами.

Оказалось, что в эти же дни проводится CCC (старший и более серьезный брат нашего CC). Именно туда многие из нас и отправились на следующий день.
Из основных впечатлений от поездки можно считать феноменальный уровень организации всего, чем занимаются немцы. В общем, отлично съездили. Кстати, родной аэропорт Домодедово умудрился подгадить и на обратном пути: разбить 5 бутылок в багаже, помеченном fragile — надо уметь.

Если у кого есть вопросы — смело задавайте в комментах. И да, по найденным уязвимостям в Почте у нас NDA, так что никаких подробностей, сорри.

p.s. Взгляд на нашу поездку от другого участника команды [1, 2]

Реклама
  1. LO
    12.01.2011 в 13:54

    2-е место — это, конечно, достижение. Для неудачников. Обидно, что через людей это ассоциируется с моим Универом.

    • 12.01.2011 в 14:06

      Надо понимать, что неназванные достижения уважаемого комментатора ни в какое сравнение с этим, безусловно, не идут. Может, стоит донести список того, что отличает удачников от неудачников, до общественности?

  2. LO
    12.01.2011 в 14:58

    Погорим обо мне? Список моих достижений либо отсутствие таковых как-то повлияет на тезис? Я себе это представляю: привожу список своих достижений и только потом (!) имею право высказать мнение. Надо полагать.
    Вы, люди со средними мыслительными способностями, всё время пытаетесь понять справедливость тех или иных суждений исходя из авторитетности их источника. Ложный путь.
    Мой вывод основан на том, что у вас было отличное настроение в тот день, когда вас награждали как прос****их. Именно это и есть признак неудачников.
    Для какого-нибудь там ВУЗика, сравнимого с Рурским, это, безусловно, была бы удача, но не для МГУ. Делая хорошую мину при плохой игре, вы тем самым насаждаете ложные ценности (в данном случае «второе место — хорошо»), которых у нас не было. Что дальше? А дальше пойдёт: в тройке, в пятерке, в десятке…

    • 12.01.2011 в 15:08

      Оставлю данный комментарий как наглядную иллюстрацию поговорки «Бардак не в клозетах, а в головах».
      Спасибо и всего хорошего.

  3. GQ
    12.01.2011 в 17:05

    Так и не понял, в чем проблема-то?
    Ребята организовали команду, заявились для участия в пентесте, заняли второе место.
    Если бы до этого момента они участвовали в подобных мероприятиях в уже который год и регулярно занимали первые места, в тут вдруг второе… Но ведь всё несколько иначе.
    Или я чего-то не заметил?

    • Allena
      12.01.2011 в 17:13

      Решил покормить? = )

      Команде поздравления и респекты.

      • GQ
        12.01.2011 в 22:41

        не ну мне правда интересно, на чем такое специфичное мнение основано.

  4. Pendergast
    12.01.2011 в 23:23

    GQ :
    не ну мне правда интересно, на чем такое специфичное мнение основано.

    На этническом происхождении комментатора (в смысле кафедры, на которой он учится).

  5. LO
    13.01.2011 в 11:20

    @GQ
    Мнение основано на том, что эти ребята не «простые чукотские». Спрос с них другой. Этот спрос определяется совсем не тем, сколько раз они до того победоносно участвовали в подобных мероприятиях. Поздравлять с «хор»? Кого поздравляют с «хор»? Вы помните этих людей?

    @Pendergast
    Не угадали.

    По моему глубокому убеждению, Я уже исчерпывающе высказал своё мнение. Поднятый вопрос по большому счету не является дискуссионным, ибо он — отражение наших различных ценностей.

    • Pendergast
      13.01.2011 в 12:13

      @LO

      Учитесь, и может быть когда-нибудь ваши ценности выйдут за пределы шкалы академических оценок. Учитесь, и может быть вам тоже посчастливится на собственном опыте узнать, что за верхней границей этой шкалы, равной 5.0, лежит область мощности континуума, в которой и происходит любая соревновательная деятельность состоявшихся профессионалов.

  6. LO
    13.01.2011 в 13:15

    Pendergast :
    @LO
    за верхней границей этой шкалы, равной 5.0, лежит область мощности континуума, в которой и происходит любая соревновательная деятельность состоявшихся профессионалов.

    Ещё одна типичная отговорка неудачников.
    Я на собственном опыте знаю Вами обозначенную «мощность континуума» и всегда всех делал в своей сфере. И пока это Я всех учу в этой сфере. Иначе не говорил бы.

  7. Pendergast
    13.01.2011 в 13:51

    LO :
    Я на собственном опыте знаю Вами обозначенную «мощность континуума» и всегда всех делал в своей сфере. И пока это Я всех учу в этой сфере. Иначе не говорил бы.

    Не жадничайте, дайте нам немножко прикоснуться к Вашему сиянию! Покажите свои учебники, программы курсов или хотя бы публикации!

  8. LO
    13.01.2011 в 14:49

    @Pendergast
    Следуйте рекомендациям Андрюши Петухова, и Вы с неизбежностью погреетесь в лучах моего света, пусть даже в ничтожной их части, даже не осознавая этого.
    Вместе с тем, @Pendergast, Вы уже второй раз делаете некие предположения на мой счёт, основанные только на Ваших фантазиях, и пытаетесь заставить меня Вам возражать. Бросьте Вы эти детсадовские приёмы! Моя персона в этом контексте никого интересовать не должна.
    Более отвечать никому не собираюсь. Всем спасибо и до свидания!

    • ngo
      13.01.2011 в 16:20

      @LO
      …Ибо истинно говорю я вам: Аноним хуже пид****а.

  9. d0znpp
    16.01.2011 в 22:59

    Отличные комментарии. Мотивация должна подняться )
    А вообще, надо вам усилить команду тренером LO.

    Знаешь что-то лучше других — поделись со студентами.

    • 16.01.2011 в 23:02

      Кстати, да. Почему бы товарищу LeverOne не дать парочку мастер-классов нашей команде?

  10. LO
    17.01.2011 в 20:52

    Andrew Petukhov :
    Почему бы товарищу LeverOne не дать парочку мастер-классов нашей команде?

    Очная форма невозможна. Это ограничит мою свободу в дальнейшем. Я готов смоделировать некоторые практические ситуации, которые вы сами попытаетесь решить. Если вам это интересно, пишите на ящик, который, надеюсь, известен. У меня будут ещё условия организационного характера.

  1. No trackbacks yet.

Добавить комментарий

Заполните поля или щелкните по значку, чтобы оставить свой комментарий:

Логотип WordPress.com

Для комментария используется ваша учётная запись WordPress.com. Выход / Изменить )

Фотография Twitter

Для комментария используется ваша учётная запись Twitter. Выход / Изменить )

Фотография Facebook

Для комментария используется ваша учётная запись Facebook. Выход / Изменить )

Google+ photo

Для комментария используется ваша учётная запись Google+. Выход / Изменить )

Connecting to %s

%d такие блоггеры, как: