บทนำ
ในซีรีส์ต่อเนื่องเรื่องความปลอดภัยของคอมพิวเตอร์ส่วนบุคคล วันนี้เรากำลังคุยกับ Dino A. Dai Zovi เมื่อสามปีที่แล้ว ผู้จัดงาน CanSecWest ได้เริ่มการแข่งขันชื่อ Pwn2Own การแข่งขันครั้งนี้เกี่ยวข้องกับความท้าทายในการใช้ประโยชน์จากแล็ปท็อปสำหรับขายปลีกที่มีการแพตช์อย่างสมบูรณ์ แฮ็คแล็ปท็อปแล้วคุณจะชนะเครื่องเป็นรางวัล Dino A. Dai Zovi เป็นคนแรกที่ทำลาย Mac ในช่วง Pwn2Own ตัวแรก ปีที่แล้วและปีนี้ Charlie Miller ได้รับเกียรติให้นำ Mac ที่มีการแพตช์อย่างสมบูรณ์สองเครื่องออกไป Dino และ Charlie เป็นผู้เขียนร่วมใน The Mac Hacker’s Handbook
อลัน: ขอบคุณที่สละเวลาคุยกับเรา ดังนั้น ก่อนที่เราจะเริ่มต้น ทำไมคุณไม่เล่าเกี่ยวกับตัวเองสักหน่อย
Dino: ฉันเป็นผู้เชี่ยวชาญด้านความปลอดภัยคอมพิวเตอร์และเป็นนักวิจัยด้านความปลอดภัยอิสระ ประสบการณ์ระดับมืออาชีพของฉันครอบคลุมการทดสอบการเจาะระบบ การตรวจสอบความปลอดภัยของซอฟต์แวร์ และการจัดการความปลอดภัย ฉันเป็นผู้ร่วมเขียนหนังสือสองเล่ม เล่มล่าสุดคือ The Mac Hacker’s Handbook กับ Charlie Miller ฉันมักจะพูดในการประชุมด้านความปลอดภัยเกี่ยวกับการวิจัยด้านความปลอดภัยของฉันเกี่ยวกับเทคนิคการแสวงหาประโยชน์ ความปลอดภัยของไคลเอนต์ไร้สาย 802.11 และรูทคิทที่ใช้ฮาร์ดแวร์เสมือน ฉันมุ่งเน้นไปที่การวิจัยด้านความปลอดภัยที่น่ารังเกียจเพราะฉันเชื่อว่าจำเป็นต้องมองว่าระบบเป็นผู้โจมตีเพื่อออกแบบระบบที่ปลอดภัยยิ่งขึ้น
อลัน: การวิจัยด้านความปลอดภัยที่ “เชิงรุก” เป็นสิ่งที่ปฏิบัติกันมากที่สุดตอนนี้หรือไม่
Dino: เป็นสิ่งที่หายากในอุตสาหกรรมความปลอดภัยของคอมพิวเตอร์ และยังคงถูกมองว่าเป็น “ข้อห้าม” โดยผู้ปฏิบัติงานหลายคน ในขณะที่การประชุมบางอย่าง เช่น Black Hat Briefings และ CanSecWest มีการพูดคุยจำนวนมากที่กล่าวถึงจุดอ่อนด้านความปลอดภัย การประชุมขนาดใหญ่เช่น RSA Expo ครอบคลุมน้อยกว่ามาก
อลัน: ฉันไม่ได้ตระหนักถึงความแตกต่างนั้น ตอนนี้มันสมเหตุสมผลแล้วที่ Black Hat Briefings และ CanSecWest มักจะนำเสนองานที่น่าสนใจและสร้างสรรค์ที่สุดอยู่เสมอ คุณเริ่มต้นในธุรกิจความปลอดภัยได้อย่างไร?
Dino: ฉันเริ่มสอนความปลอดภัยคอมพิวเตอร์ให้ตัวเองในโรงเรียนมัธยมและได้ทำงานให้คำปรึกษาเบ็ดเตล็ดตั้งแต่นั้นมา ส่วนใหญ่ทำการทดสอบการเจาะระบบสำหรับธุรกิจในท้องถิ่นและจากระยะไกล นั่นไม่เพียงพอสำหรับค่าเล่าเรียนของฉันในวิทยาลัย ดังนั้นฉันจึงทำงานพาร์ทไทม์เป็นผู้ดูแลระบบ Unix ด้วย ฉันยังคงมุ่งเน้นไปที่การรักษาความปลอดภัยในโรงเรียนและที่ทำงาน และในที่สุดฉันก็เริ่มทำงานเป็นผู้รับเหมาสำหรับห้องปฏิบัติการวิจัยที่ดำเนินการวิเคราะห์ความปลอดภัยสำหรับกลุ่มการดูแลระบบ Unix ของพวกเขา จากที่นั่น ฉันสามารถเริ่มทำงานให้กับ Red Team ของพวกเขาได้ และในที่สุดก็ได้รับการว่าจ้างให้เข้าร่วมกลุ่มนั้นเพื่อดำเนินการประเมินความปลอดภัยของ Red Team สำหรับองค์กรภายนอก หลังจากที่ฉันจบการศึกษาจากวิทยาลัย ฉันย้ายไปนิวยอร์คและเริ่มทำงานให้กับ @stake ซึ่งเป็นบริษัทที่ปรึกษาด้านความปลอดภัยดิจิทัลที่ไซแมนเทคซื้อในภายหลัง
