11/07/08 09:54:28
UN GRUPO ESPAÑOL LOGRA EL PRIMER PUESTO EN LAS SEMIFINALES DEL CONCURSO DE HACKING MÁS LEGENDARIO
Mercè Molist
Se llaman "Pandas with Gambas" y se van de vacaciones a Las Vegas, a la
DefCon, la reunión de hackers más legendaria del planeta.
Son diez españoles con una edad media de 27 años,
expertos en seguridad que disfrutan defendiendo y atacando
máquinas por el puro placer del reto. Han superado ya el
primero: ponerse a la cabeza de los 200 grupos que competían
para participar en "Capture The Flag", el principal concurso de hacking
de la DefCon.
"Capture The Flag" (Captura La Bandera) es un tipo de "wargame" o
concurso de hacking y el de Las Vegas se considera el más duro
del mundo. Los equipos reciben una copia exacta de un servidor, con los
mismos programas instalados, creados por los organizadores. Cada
programa tiene al menos un fallo de seguridad y el juego consiste en
descubrirlos, para defender el propio servidor y atacar los de la
competencia.
"Hay trabajo para todos, en análisis de código,
monitorización, ataque, defensa, automatización; somos un
grupo bastante heterogéneo y tenemos especialistas de cada
área", explican Pandas with Gambas. El grupo se creó el
año pasado, para competir en la DefCon, donde quedaron terceros.
El concurso les tuvo 72 horas sin dormir, pero quieren repetir.
"Nos clasificamos 'in extremis', cuando resolvimos una prueba de
dificultad máxima en las últimas dos horas, fue de
infarto", recuerdan. Ya en la fase final, empezaron liderando la prueba
pero les pudieron "el cansancio y la desventaja en cuanto a integrantes
del grupo, ya que éramos sólo siete frente a los doce de
media del resto", aseguran.
Este año, la clasificación ha sido más
cómoda "gracias a la ayuda que hemos obtenido de la comunidad
hacker española, que ha sacrificado sus horas de sueño
para echar un cable", explican. Las 25 pruebas clasificatorias estaban
divididas en cinco áreas: ingeniería inversa de
programas, análisis forense, conocimientos, explotación
de programas y explotación avanzada. Han empatado con otro
grupo, "Routards", franco-suizo.
Así que, del 8 al 10 de agosto, estarán en Las Vegas:
"Tenemos posibilidades, pero será complicado porque el nivel de
dificultad aumenta cada año", aseguran. Por si acaso,
están entrenando: "Es un poco difícil porque cada uno
tiene su trabajo y horarios, pero vamos haciendo los ejercicios que no
resolvimos el año pasado y también desarrollamos
herramientas que nos ayuden en el concurso".
Su buena actuación en las clasificatorias demuestra,
según Pandas with Gambas, que "en España hay gente muy
buena, esperamos que las nuevas generaciones tengan tantas ganas de
aprender como nosotros a su edad". Estos concursos son, precisamente,
una forma de aprender sin daños colaterales, ya que los
ordenadores y programas están controlados por la
organización.
El origen de los concursos de hacking fueron las competiciones
científicas en las universidades, que se hacían
también en las facultades de informática y de aquí
saltaron a Internet. A mediados de los años 80, en la red de
grupos de noticias Usenet se celebraban las "Obfuscated C Contest"
(Competiciones de C Ofuscado), que consistían en crear el
programa más raro. El sitio Hackerslab fue pionero en organizar
"wargames" a nivel internacional.
En España, los primeros concursos públicos de hacking
fueron los Torneos iZhal y Boinas Negras, del Instituto Seguridad
Internet, en 2002 y 2003. Empresas como S21sec y blogs, como el del
experto Chema Alonso, organizan regularmente retos para la comunidad
hispana. El último ha sido el I Torneo de Seguridad BlindSec, de
la empresa Blind Security, que acabó el 3 de julio con casi 400
personas inscritas.
"Algunos sirven para crear comunidad y compartir conocimiento, otros
para concienciar a la gente de los peligros que acechan en la red,
otros simplemente para publicitar un producto", explican Pandas with
Gambas. Estos últimos son los más difíciles, ya
que algunas empresas hacen trampa y ponen límites de tiempo
imposibles para atacar sus productos, que después
venderán como "a prueba de hackers".
Hay muchos tipos de "wargames": sobre criptografía,
programación, análisis de programas, aplicaciones web o
multiprueba, como "Capture The Flag". Algunos son para individuales y
otros para equipos, los hay públicos y también privados,
pueden durar horas o semanas. También varían los premios:
desde sustanciosas cantidades, como en el sitio HackerChallenge, hasta
recompensas simbólicas, como en la DefCon, donde Pandas with
Gambas se llevarán, si ganan, la "Insignia Negra".
"Estos concursos suponen un verdadero reto intelectual, sobre todo
cuando el fallo ha sido construido y colocado a propósito por
los organizadores, porque puede ser tan enrevesado como se les haya
ocurrido. Ellos han hecho el puzzle y te toca a tí resolverlo,
esa es la gracia", afirman los chicos, para quienes participar en
"wargames" es, dicen, "como para un alpinista escalar una
montaña".
Pandas with Gambas
http://sexy.pandas.es
Pandas en la DefCon 2007
http://sexy.pandas.es/blog/2007/08/18/ctf07-report/
DefCon
http://www.defcon.org
"Capture The Flag"
http://en.wikipedia.org/wiki/Capture_the_flag
"Obfuscated C Contest"
http://www.catb.org/jargon/html/O/Obfuscated-C-Contest.html
Hackerslab
http://www.hackerslab.org
iZhal: una comunidad dedicada al hacking
http://www.rs-labs.com/papers/izhal.pdf
Chema Alonso
http://elladodelmal.blogspot.com
I Torneo de Seguridad Informática Blind Security
http://www.blindsec.com/info/noticias/I_Torneo_de_Seguridad_Informatica_Blindsec
Crackmes
http://crackmes.de
Hackerchallenge
http://www.hackerchallenge.org
Copyright 2008 Mercè Molist.
Verbatim copying, translation and distribution of this entire article
is permitted in any digital and no commercial medium, provide this
notice is preserved.
<<