Sukces Roku 2012

Doświadczenie pokazuje, że dużo łatwiej zostać autorem Wpadki Roku, niż odnieść prawdziwy sukces w dziedzinie bezpieczeństwa komputerowego. Tym ważniejsze jest dla nas nagrodzenie tych rodaków, których osiągnięcia zostały w zeszłym roku zauważone za naszymi granicami.

Co prawda klasyk gatunku twierdzi, że miarą sukcesu w Polsce jest ilość posiadanych wrogów, my jesteśmy jednak innego zdania. Nie jest trudno zaznaczyć swoją obecność na krajowej scenie bezpieczeństwa komputerowego. Prawdziwym wyzwaniem jest dokonać czegoś, co zostanie zauważone poza naszymi granicami, w znacznie bardziej konkurencyjnym środowisku. Dlatego też do tytułu Sukces Roku 2012 chcemy nominować Polki i Polaków, którzy osiągnęli w zeszłym roku sukces w dziedzinie bezpieczeństwa zauważony w innych krajach. Pod ankietą znajdziecie uzasadnienie każdej kandydatury. Głosować można na 3 pozycje. Wybór leży w Waszych rękach! Przypominamy także, że możecie również zagłosować na Wpadkę Roku 2012.

Tytuł Sukcesu Roku 2012 należy się (wyniki)

Adam Gowdiak był chyba jednym z najczęściej ostatnio cytowanych w zachodnich mediach polskich specjalistów ds. bezpieczeństwa. Choć zajmuje się ostatnio tylko jedną działką – Javą – to robi to fachowo, odkrywając kolejne błędy w tej platformie. Java działa w 3 miliardach urządzeń – a Adam Gowdiak ma na każde z nich exploit. Był także jedynym Polakiem, występującym na konferencji HITB w 2012.

Gynvael Coldwind, pracownik Google Security Team, wspólnie z innym kandydatem do nagrody, Mateuszem Jurczykiem, kilka miesięcy temu, w ramach jednego projektu, odkrył kilkadziesiąt błędów w Acrobat Readerze. Adobe musiało porządnie zakasać rękawy, by poradzić sobie z lawiną raportów o błędach w jednym z najpopularniejszych programów świata. W tym samy składzie odkryli również mnóstwo błędów w FFmpeg oraz w Chromie i Flashu.  Gynvael jest także konsultantem międzynarodowego magazynu HITB.

Joanna Rutkowska, jedyna Polka w naszym zestawieniu i jedyny przykład innowacyjnych technik obronnych. Atakowanie aplikacji lub analiza ataków wzbudza znacznie większe zainteresowanie niż budowanie mechanizmów obronnych. Joanna, opracowując i publikując system operacyjny Qubes, popularyzuje inną filozofię obrony przed atakami złośliwego oprogramowania. Pojawianie się coraz to nowych exploitów pokazuje, że kiedyś może być konieczne przyjęcie innej linii obrony i Qubes może okazać się odpowiedzią, której wszyscy będą szukać.

Krzysztof Kotowicz, jeden z niewielu rodaków, który regularnie prezentuje swoje odkrycia na zagranicznych konferencjach. Krzysztof specjalizuje się w bezpieczeństwie HTML5 – działka wąska, ale popularna, ponieważ w zeszłym roku omawiał ten temat na konferencjach Black Hat USA, BruCON i Hack in Paris.

Mateusz Jurczyk, kolejny w zestawieniu pracownik Google Security Team, oprócz odkrycia wraz z Gynvaelem Coldwindem mnóstwa błędów w Acrobat Readerze, otrzymał w 2012 prestiżową nagrodę Pwnie Award w kategorii „błąd umożliwiający podniesienie uprawnień”. Nagrodzono go za odkrycie błędu Windows Kernel Exception Handler Vulnerability (CVE-2011-2018), oraz jego perfekcyjne wykorzystanie do podniesienia uprawnień we wszystkich 32-bitowych wersjach systemu Windows. Mateusz zgłosił w 2012 także kilka innych błędów w systemie Windows, ponad 600 błędów w projekcie FFmpeg, kilkadziesiąt w Chromie i Flashu oraz występował na konferencji ZeroNights. Jedno z jego odkryć pomogło w przeprowadzeniu operacji jailbreak w Windows RT.

Rafał Wojtczuk otrzymał w zeszłym roku nominację do Pwnie Award w tej samej kategorii co Mateusz, za odkrycie problemów z intelową instrukcją SYSRET (CVE-2012-0217). Problem dotykający mnóstwa systemów operacyjnych działających na procesorach Intela okazał się na tyle interesujący, że Rafał przedstawiał go na konferencji Black Hat USA.

Zespół CERT Polska to jedyna w naszym zestawieniu kandydatura grupowa. Brakuje w naszym kraju prawdziwych zespołów badawczych, zajmujących się bezpieczeństwem komputerowym. Tę lukę dzielnie wypełnia CERT działający przy NASKu, publikując regularnie wyniki badań nad złośliwym oprogramowaniem, cytowane w zachodniej prasie.