-:Hellsource Blog:-

Jakiś czas temu zostałem wytypowany do tej jakże przyjemnej zabawy (pozdrawiam PeCe). Z braku czasu i ogromnego nawału pracy jaki mnie spotkał w ostatnich miesiącach, nie byłem w stanie tutaj pisać.
Ostatnie wydarzenia:
1. W najbliższych dniach zostanie oficjalnie ogłoszony start Koła Naukowego PK IT Security Group - już teraz zapraszam na stronę Koła (gdzieś tutaj można znaleźć link).
2. Konferencja "Just Java" zakończyła się sukcesem. Relacja jest dostępna na stronie PK IT SEC.
3. Ciągła praca, spotkania i wykłady... bywa...

5 faktów o mnie:
1. Podobnie jak PeCe mam w sobie coś z piromana - problem w tym, że moje przygody z ogniem zawsze są przypadkowe i kończą się zniszczeniem większego 'obszaru leśnego'. Z pewnych przyczyn nie mogę powiedzieć nic więcej :)
2. Jestem miłośnikiem wszelkiego typu akrobacji - czasami wybieram się z grupą ludzi robić salta, śruby itp. rzeczy... Faktem jest, że nigdy nie korzystamy z profesjonalnie przygotowanej sali tylko z... lasu.
3. W swoim życiu utożsamiałem się z wieloma subkulturami. Szczerze mówiąc teraz tego żałuję. Dopiero kilka lat temu zrozumiałem, że moje postępowanie nie ma najmniejszego sensu i muszę wypracować własny unikalny styl... i tak też się stało.
4. Mało osób wie, że moim jedynym zwierzakiem był królik o imieniu - "Puszek". Muszę się przyznać - tak, to ja wymyśliłem imię dla królika. Mało oryginalny i raczej nie pasujący do mojej osoby pomysł.
5. Jak coś wymyślę to dam znać.

Listę osób wciągniętych do gry podam w najbliższym czasie. Będę się także starał pisać więcej i... lepiej.

Recenzja Software Developer's Journal 01/2007

Kolejny numer miesięcznika SDJ porusza dość ciekawe i mało popularne tematy. W magazynie znajdziemy kilka dobrze napisanych i wciągających artykułów. Z pośród kilkunastu tekstów zamieszczonych na łamach SDJ należy wyróżnić moim zdaniem dwa najciekawsze:

-Quartz – zarządzanie zadaniami w J2SE/J2EE. Artykuł jest świetnie napisany, obszerny i co najważniejsze bardzo dobrze się go czyta. Pan Piotr Anioła (autor) wykonał naprawdę bardzo dobrą pracę. Szczerze mówiąc do poprzednich publikacji z serii "biblioteka miesiąca" podchodziłem raczej sceptycznie. Tym razem, opis biblioteki Quartz wraz z przykładowym zastosowaniem wywarł na mnie pozytywne wrażenie.

-Aplikacje Java w telewizji interaktywnej. Tekst napisany przez Pana Tomasza Kuprowskiego wprowadza nas w tematykę Xletów. Autor zapoznaje nas z podstawami telewizji internetowej i przedstawia jak wykorzystywać w niej Javę. Jest to świetny wstęp do dalszej nauki w tym zakresie.

Na uwagę zasługuje także felieton Rafała Kocisza pt. "Postmodernistyczne języki programowania". Ciekawe przedstawienie takich języków jak Ruby, Python czy Perl. Gorąco polecam!

Reszta artykułów znajdujących się w SDJ także jest ciekawa. Niestety, rozczarowany jestem artykułem "e-Poltax"... moim skromnym zdaniem, jest on zupełnie niepotrzebny i miejsce które zajmuje mogło być lepiej wykorzystane.

Tym jakże pięknym cytatem z równie pięknej piosenki rozpocznę ten wpis. Dotyczyć on będzie "lansowania" się ludzi związanych z bezpieczeństwem komputerowym...

A teraz poważnie. Ostatnio wchodząc na dowolną stronę związaną z bezpieczeństwem spotykam się z wojną pomiędzy "tymi co się lansują" a "tymi co mówią że lans jest fe". Nawet przeglądając ostatnio dodane wpisy na jogger.pl natrafiłem na kilka informacji dotyczących tego niechlubnego procederu jakim jest 'lans'.
Zastanawiam się nad przyczynami występowania tego konfliktu i idącymi za tym konsekwencjami. Ostatnio dwie strony zaliczane do... użyjmy sformułowania "osi lansu"... zostały podmienione(więcej na cc-team.org). Dziwne... Nie oceniając stopnia zabezpieczeń tych stron(tematyka jaką poruszają zobowiązuje) muszę przyznać, że razi mnie brak informacji ze strony administratorów o jakimkolwiek włamaniu.

W związku z ostatnimi wydarzeniami (wystąpienie goriona w TVN, podmiana stron hack.pl i ihack.pl) mam pytanie: gdzie według Was kończy się bezinteresownej publikowanie znalezionych błędów a gdzie zaczyna się 'lans'?

21 listopada w Krakowie odbędzie się IT Academic Day. ITAD będzie składał się z szeregu wykładów przeprowadzonych w sali konferencyjnej "Kotłownia" znajdującej się na terenie Politechniki Krakowskiej. Gorąco zapraszam do uczestnictwa.
Więcej informacji znajdziecie na TEJ stronie.

Za dwa tygodnie mam przedstawić projekt programu przeznaczonego dla urządzeń mobilnych. Jak chyba każdy wie, najtrudniejsze są początki. W związku z tym, proszę Was o odpowiedź na jedno krótkie pytanie - jaki program chcielibyście zobaczyć na ekranach swoich telefonów komórkowych? (co ma robić, jakie funkcje ma oferować, itd.). Mam kilka swoich pomysłów, ale liczę na Waszą kreatywność.

Zgodnie z obietnicą zamieszczam podsumowanie spotkania z B.Eckelem w krakowskim Empiku. Spotkanie rozpoczęło się punktualnie o 19.00. Ku mojemu zdziwieniu przybyło bardzo mało osób - mniej więcej 30-35. Na początku Eckel odpowiadał na pytania zadawane przez miłą, ale chyba nie związaną z informatyką Panią. Pytania dotyczyły rozwoju języka Java, ogólnych nurtów panujących w środowisku programistów i kawy... nieodłącznego trunku programisty. Potem nadszedł czas na pytania od uczestników. Padały pytania poruszające takie kwestie jak: powiązania z platformą .NET, języki przyszłości i popularność Javy.
Teraz troszkę osobistych przemyśleń. Eckel w moich oczach wiele zyskał - okazał się być człowiekiem o dużej wiedzy i luźnym podejściu do swojej pracy - na spotkania przyszedł w dresie i białych adidasach, a podczas podpisywania książek rozmawiał o wkładzie w tworzenie okładek swoich książek. Bruce okazał się także człowiekiem który nie faworyzuje żadnego konkretnego języka. Zaznaczył natomiast, że Java jest kolejnym stadium rozwoju języków programowania - stadium które też będzie musiało odejść w cień.
Podsumowując, uważam że spotkanie było ciekawe i warte uwagi. Kto wie - może była to ostatnia szansa na poznanie człowieka który dużo wniósł w rozwój informatyki.

Dzisiaj odbędzie się spotkanie z B.Eckelem w krakowskim Empiku. Wszystkich zainteresowanych gorąco zapraszam. Nie mam pojęcia jak będzie wyglądało samo spotkanie - wiem jedynie, że Bruce będzie podpisywał swoją najnowszą książkę. Postaram się zdać relację z całej imprezy.

Ostatnio wielkie poruszenie wywołało odkrycie nowej, krytycznej luki w przeglądarce Firefox. Jak się później okazało, były to informacje fałszywe. Ludzie odpowiedzialni za rozpowszechnienie informacji o "krytycznym błędzie" Firefoksa stwierdzili, że informacje miały formę żartu. Faktycznie... bardzo dobry żart.
W Internecie można znaleźć wiele materiałów dotyczących całej tej sprawy:
-Luka w Firefoksie była żartem
-Update: Possible Vulnerability Reported at Toorcon
-Hackers claim Firefox zero-day flaw
-Window Snyder o dziurze z ToorCon
-O dziurze ciąg dalszy
Zastanawiają mnie dwie rzeczy. Jaki jest cel publikowania fałszywych informacji dotyczących bezpieczeństwa dowolnego programu (utrata dobrego wizerunku?) i jak zareagują ludzie gdy zostaną udostępnione informacje o prawdziwym błędzie... uwierzą w nie czy może zignorują zakładając że nie są prawdziwe?

Wielu ludzi jest negatywnie nastawionych do korzystania z sieci bezprzewodowych pod Linuksem. Wielu użytkowników nie potrafi bezproblemowo skonfigurować systemu, karty sieciowe nie są poprawnie obsługiwane przez system lub występują inne problemy. Dzisiaj, korzystając z chwili wolnego czasu postanowiłem uruchomić program Kismet pod Linuksem (Ubuntu 6.06, karta sieciowa Intel PRO/Wireless 3945 a/b/g). Zamieszczam tu krótki opis:

-nie instalujemy programu Kismet przez apt-get!
-pobieramy Kismet: download
-ściągamy potrzebne paczki (jeżeli ich nie mamy):
sudo apt-get install build-essential
sudo apt-get install libncurses5-dev
-rozpakowujemy i instalujemy (./configure, make, make install...) Kismet
-przechodzimy do pliku konfiguracyjnego (domyślnie) /usr/local/etc/kismet.conf -szukamy linijki zaczynającej się od 'source' i zmieniamy ją na 'source=ipw3945,eth1,Intel'

Mam nadzieję że powyższy opis komuś się przyda.

Kilka dni temu dostałem "zlecenie". Moim zadaniem było kupno komputera przenośnego, instalacja odpowiedniego oprogramowania i optymalizacja/konfiguracja sprzętu i systemu. Miałem tylko jedno ograniczenie - cena nie mogła przekroczyć 4000zł...
Jako że moim "klientem" były dobrze mi znane osoby, które cenię i szanuję, postanowiłem wybrać możliwie najlepszy sprzęt w tym przedziale cenowym. Poszukiwania trwały dwa dni. W tym czasie przez moje biurko przewinęły się tony ogłoszeń a przez monitor komputera setki stron sklepów komputerowych. Po dwóch dniach byłem pewny...
Zwyciężył komputer HP nx7400. Procesor Intel Core Duo, 1024MB RAM, świetna matryca 15,4 i dobra bateria przesądziły o moim wyborze. Komputer okazał się także zdecydowanym liderem, jeżeli chodzi o stosunek jakości/możliwości do ceny - można go dostać już za ~3550zł. Jeżeli ktoś poszukuje dobrego laptopa to naprawdę gorąco polecam nx7400. Przeszedł on moje dziwaczne testy i zdobył moje uznanie.

...a oto miejsce w którym dzieją się cuda (i nie jest to moje łóżko...): moje miejsce pracy

Dzisiaj rozpoczął się konkurs Security Days. Z braku innych zajęć postanowiłem w nim wystartować i porównać tegoroczną edycję z poprzednimi. Nie oczekiwałem zbyt wiele, ale to co zobaczyłem miło mnie zaskoczyło. Zadań teoretycznych nie mogę ocenić, ponieważ każdy uczestnik otrzymuje inny zestaw. Muszę jednak przyznać, że zadanie praktyczne cechuje się wyższym poziomem trudności niż ubiegłoroczne "zadanko". Poczekam i ocenię konkurs po zakończeniu...
Życzę wszystkim startującym jak najlepszych miejsc!

W tej notce napisałem o książce pt. "Sztuka infiltracji". Czytając tę książkę dowiedziałem się o bardzo ciekawym urządzeniu. Chodzi mi o sprzęt zwany KeyGhost, czyli tzw. Hardware Keylogger. W związku z tą jakże poręczną, ciekawą i cholernie drogą zabawką mam do Was pytanie - czy ktoś z Was spotkał się w polskich sklepach z odpowiednikiem tego urządzenia działającego na USB? Chciałbym przetestować KeyGhost lub jego odpowiednik i sprawdzić jego funkcjonalność w praktyce, ale na keylogger.pl i logisteam.pl dostępne są tylko wersje PS/2. Jedno jest pewne - sprzęt na pewno znajdzie nabywców zarówno wśród ludzi przeprowadzających audyty bezpieczeństwa jak i... włamywaczy.

Niewątpliwie, Kevin Mitnick ma talent do sztuki. Najpierw była to "Sztuka podstępu" a jakiś czas temu można było zaobserwować jego zamiłowanie do "Sztuki infiltracji". Dwa dni temu postanowiłem kupić jego drugą książkę. Nie jestem fanem "Kondora", nie mam jego plakatów na ścianach i już na pewno, nie jest on dla mnie mentorem i "królem informatyków". Kupiłem książkę, aby ocenić jej wartość - bo przecież nazwisko Mitnick na okładce zobowiązuje…
Trzysta stron opowieści o włamaniach, socjotechnice i cudownych wyczynach specjalistów od bezpieczeństwa. Pierwsze dwieście stron przeczytałem szybko i bezboleśnie. Ostatnia setka już nie była taka przyjemna - opowieści zaczynają nudzić, skrupulatne opisy włamań zaczynają drażnić (głównie rozpisywanie się na tematy nie mające związku z tematyką książki...) i z każdym kolejnym rozdziałem pojawia się ta sama myśl: "Znowu będzie próbował tego sposobu, ale mu się nie uda. Skorzysta z innej techniki, wpisze hasło domyśle, uzyska dostęp do poufnych danych i znowu zacznie się podsumowanie...".
Podsumowując, uważam że książka nie jest wybitna. Nie żałuję tych 24zł, ale czytałem lepsze książki (np. poprzednią książkę Mitnicka). "Sztuka infiltracji" jest miłą lekturą przed snem. Jest to książka, do której już się nie wraca - po przeczytaniu odstawiamy ją na półkę i zapominamy o jej istnieniu. A szkoda... bo potencjał "Kondora" można było wykorzystać znacznie lepiej.

Jakiś czas temu, na wielu stronach informacyjnych można było przeczytać o wadliwej łatce przeznaczonej dla systemu Ubuntu. Niby nic dziwnego. Każdy czasem popełnia błąd. Ale mnie zaciekawił zupełnie inny aspekt tej sprawy. Jeżeli przez weryfikację przeszła wadliwie działająca łatka to znaczy, że cały system bezpieczeństwa można pominąć. Wiadomo co by się stało, gdyby przez weryfikację przeszła specjalna, spreparowana łatka zawierająca złośliwy kod...
Usługa automatycznego pobierania aktualizacji pod różnym postaciami występuje w prawie każdym systemie operacyjnym. Wszyscy Użytkownicy systemu Windows XP znają (a przynajmniej powinni znać) system Windows Update. Zastanówmy się - czemu Microsoft nie udostępnia tego systemu innym firmom, np. piszącym oprogramowanie usprawniające księgowość? Oczywiście chodzi o bezpieczeństwo - system Windows Update (jak i większość jego odpowiedników na inne systemy) jest "kanałem", który omija firewall, system antywirusowy i czasem nawet przezorność człowieka (ludzie wychodzą z założenia, że patch nie może być szkodliwy...).
Wyobraźmy sobie teraz sytuację, w której napastnik umieszcza w repozytorium swój pakiet, który później zostaje pobrany przez miliony Użytkowników na całym świecie. W czerwcu został skompromitowany serwer projektu Gnome,w lipcu zostało dokonane włamanie na serwer Debiana. Przypomnę, że strona projektu Gnome korzysta z serwera, który udostępnia aktualizacje systemów Linux Ubuntu, Mandriva, Suse, Keldix oraz Fedora Core...
Temat jest ciekawy i w najbliższym czasie postaram się go dogłębnie zbadać. Moje dalsze przemyślenia będę publikował na bieżąco. Miłych aktualizacji życzę...

Za każdym razem, gdy przeglądam różne strony internetowe irytuje mnie pewien schemat, zakorzeniony już chyba w sposobie myślenia ludzi. Chodzi mi tutaj o bezpodstawną, często wynikającą z niewiedzy krytykę produktów i działań Microsoftu. Nie twierdzę, że Microsoft jest firmą idealną, nieskazitelną, że dba o klientów jak nikt inny na świecie i każda firma z kręgu IT powinna brać z niego przykład. To jest myślenie, które musi być błędne przez same założenia - nie ma firmy, która nie popełnia błędów a jej kierownictwo jest nieomylne. W tym jakże krótkim tekście postaram się przedstawić zalety polityki Microsoftu i wdrożonych przez samą firmę udogodnień. Nie będę krytykował żadnego konkurencyjnego produktu, ponieważ nie chcę popełniać błędu, z którym tak usilnie walczę.

Ludzi krytykujących produkty Microsoftu można podzielić na kilka grup. Po pierwsze, są to ludzie, którzy sami używają Windows lub innych produktów firmy z Redmond, ale nie opanowali ich obsługi w wystarczającym stopniu lub brakuje im wiedzy. Drugą grupę stanowią ludzie, którzy ulegli modzie na "posiadanie własnego Linuksa", zmienili system na siłę i teraz na różnych forach można przeczytać ich złote myśli, w stylu: "Linux rox, Winshit jest do dupy". Trzecią, bardzo nieliczną grupę stanowią ludzie, którzy naprawdę nienawidzą produktów Microsoftu, mają ku temu rozsądne powody i posiadają odpowiednio silną argumentację swoich przekonań. Osobiście wychodzę z założenia, że ludzie powinni nauczyć się doceniać zalety różnorodnych systemów i nigdy nie krytykować systemu, którego sami nie używają.
Mamy już scharakteryzowane pewne grupy ludzi, więc przejdźmy teraz do charakterystyki najbardziej znienawidzonego produktu Microsoftu, czyli systemów operacyjnych z rodziny Windows. Cała krytyka skierowana w stronę Windows skupia się na kilku głównych filarach: na bezpieczeństwie, na szybkości i stabilności pracy i na cenie. Dwa pierwsze filary zależą tylko i wyłącznie od użytkownika systemu. Często czytam historie ludzi, którzy mają setki bluescreenów na godzinę, dzieją się jakieś paranormalne rzeczy i system przestaje chodzić. Dziwne, ja jeszcze tak nie miałem, ale przecież taka rzesza świetnych informatyków nie może się mylić... Co do szybkości i stabilności pracy wiele nie mogę powiedzieć. Mój komputer pracuje praktycznie 24h na dobę i rzadko zdarza mi się go restartować. Nie odczuwam żadnych przestojów w działaniu aplikacji. Z bezpieczeństwem także nie miałem żadnych problemów - korzystam z dobrego firewalla, programu antywirusowego i na bieżąco pobieram aktualizacje systemu. No właśnie, z tymi aktualizacjami w przypadku Windows nie zawsze jest tak różowo - czasem wychodzą zbyt późno, ale praktycznie zawsze można uzyskać informację co robić do czasu ukazania się odpowiedniej łatki. Oczywiście nie twierdzę, że Windows jest fortecą nie do sforsowania. Ze względu na większą popularność jest bardziej narażony na różnego rodzaju ataki oraz wirusy, spyware itd. Trzecią kwestią sporną jest cena. Tutaj Windows bezapelacyjnie przegrywa (mam na myśli zastosowanie niekomercyjne). Linuks/BSD/Solaris są systemami darmowymi, które możemy ściągnąć z Internetu w kilka godzin. Według mnie, rozmowa na temat ceny systemów powinna sprowadzać się do krótkiego podsumowania: "Windows przeznaczony do zastosowań domowych jest droższy niż inne systemy". Wynika to głównie z komercyjnych korzeni systemu. Co prawda, płacąc te kilkaset złotych dostajemy dobre wsparcie techniczne, możliwość nieskrępowanej aktualizacji systemu itd. Nie oszukujmy się - nie patrzymy przychylnie na wydatek kilkuset złotych na jedną płytkę głównie przez sytuację w naszym kraju. Większość ludzi woli pobrać piracką wersję, bez żadnego wsparcia technicznego i z wizją przyszłych problemów przy najbliższym uaktualnieniu, niż wydać kilkaset złotych. Nie będę oceniał tego zachowania (rozumiem je), ale przez problemy związane z piracką wersją systemu wizerunek całego produktu traci na wartości.
Kolejna sporna kwestia - funkcjonalność systemu. Znam ludzi, którzy pracują tylko pod konsolą (chodzi o Linuksa) i nie mogą żyć bez znaczka zachęty. Oni nie używają żadnego środowiska graficznego itd. Zrozumiałbym taką sytuację gdyby to był serwer, na którym dodatkowe aplikacje nie są potrzebne... ale normalny komputer używany do codziennej pracy? Znam możliwości "linuksowej konsolki", ale nie mogę zrozumieć utrudniania sobie życia na siłę. Może jestem rozpieszczony, ale wolę używać Operę niż Lynksa. Jeżeli mówimy o funkcjonalności to należy wspomnieć o obsłudze sprzętu - kupując/dostając dowolny sprzęt chcę, aby działał on na moim systemie bez żadnych dodatkowych modyfikacji i nieprzyjemnych niespodzianek. Na dzień dzisiejszy, gwarantują nam to tylko produkty Microsoftu (chociaż sytuacja ciągle się zmienia). Podobnie jest z bazą aplikacji - gry komputerowe, które są motorem napędowym branży IT pracują głównie w środowisku Windows. Wiele profesjonalnych, wyspecjalizowanych programów nie ma swoich odpowiedników na innych systemach. Oczywiście ciągle prowadzone są prace, aby zmienić ten stan rzeczy (Wine itd.), ale programy emulujące środowisko Windows nie zapewniają wystarczającej kompatybilności.
A co z programistami? Microsoft oddał w ręce programistów kilka technologii, które z czystym sumieniem można nazwać doskonałymi. Po pierwsze, jest to cała platforma .NET. Nie będę skupiał się tutaj na jej opisie, ale programiści powinni znać jej możliwości (które wzrosną po ukazaniu się Windows Vista). Po drugie, genialne środowisko programistyczne w postaci Microsoft Visual Studio 2005, które można pobrać za darmo (w wersji Express). Po trzecie, wsparcie udzielone programistom dzięki serwisom Microsoft Developer Network oraz CodePlex. Idziemy dalej.
Prawdą jest, że desktopowy Linuks może służyć jako mały serwer (oczywiście po pewnych modyfikacjach) w przeciwieństwie do desktopowych wersji Windows. A jak wygląda porównanie systemów przeznaczonych tylko i wyłącznie na serwery? Tutaj zdania są podzielone. Osobiście miałem przyjemność używać Microsoft Windows Server 2003 i bardzo chwalę sobie ten produkt. Server 2003 może być naprawdę dobrą i solidną podstawą do zbudowania funkcjonalnej i bezpiecznej sieci. Nie będę go tutaj porównywał z serwerowymi wersjami innych systemów - polecam pobranie wersji trial ze strony Microsoftu i przekonanie się na własnej skórze o wartości tego produktu. Microsoft wspiera administratorów różnorodnymi programami (np. takimi jak Microsoft Operations Manager) oraz witrynami (chyba najbardziej znana witryna: TechNet).
Zbliżając się do końca mojego nudnego wywodu przypomnę tylko, że Microsoft udostępnia część swojego oprogramowania za darmo - wystarczy poszukać. Żeby wszystko było jasne - pisałem ten tekst, aby uzmysłowić ludziom, że Microsoft nie jest wcale taki zły. Sam korzystam zamiennie z Windowsa i Linuksa (z przewagą tego pierwszego) więc nie jestem stronniczy. Z czasem postaram się dodawać więcej informacji i modyfikować tekst.