OWASP Day II italiano: luci e ombre

Dopo aver letto molti post di illustri colleghi che magnificavano l'OWASP Day II, mi sono deciso a scriverne uno anche io. Ho partecipato a tutta la giornata del convegno e ho avuto modo di vagliare uno per uno gli interventi.

Il convegno, con luci ed ombre, ha avuto interventi di sicuro rilievo ma purtroppo alcuni (non molti) sono stati assolutamente insufficienti. Il chairman, Matteo Meucci, da lodare per l'impegno che mette nell'organizzazione di questi eventi, è però da redarguire amichevolmente per due aspetti:

• più carattere nel dirigere questi convegni, cercando di acquisire più carisma anche nella moderazione degli interventi (ci sono stati interventi che sono continuati per un'ora...)
• una selezione più rigida degli interventi, magari con l'apporto di revisori esterni (qualche intervento era insufficiente anche per una tesina all'Università...)

Per quello che riguarda gli interventi, ecco le mie opinioni confortate spesso dai commenti della platea (anche autorevole):

• "L'approccio di Telecom Italia allo sviluppo sicuro delle applicazioni" di Marco Bavazzano (CISO TELECOM Italia): polpettone terribile sul ciclo di vita sicuro del software e di come Telecom sia leader in questo settore. Nulla di nuovo, argomentazioni trite e ritrite, slide orribili, molto marketing. Anche Telecom si è buttata in questo affare della Sicurezza Applicativa. Intervento assolutamente inutile.


• "SQL Injection tricks: building the bridge between the Web App and the Operating System" di Alberto Revelli (Portcullis Computer Security): bravo non c'è che dire; ha saputo gestire il suo intervento creando anche suspense e aspettative verso la tecnica di hacking (anche abbastanza innovativa) proposta. MetaSploit lo conoscono in molti, ma con mia grande sorpresa, qualche "esperto" della platea ancora lo ignorava...forse tanto esperto non è ;-) Comunque Alberto è stato molto bravo. Sicuramente un bell'intervento.


• "Le problematiche di Web Application Security: la visione di ABI Lab" di Matteo Lucchetti (ABI Lab): un disastro. Slide incomprensibili. Esposizione terribile. Spero per lui che fosse l'emozione. ABI dovrebbe presentarsi con persone in grado di reggere una conferenza anche sotto l'aspetto espositivo e di comunicazione. I contenuti erano assolutamente non fruibili, vista l'impossibilità di comprendere lo speaker. Si è dilungato 30 minuti oltre il tempo...Pessimo.


• "OWASP Backend Security Project" di Carlo Pelliccioni (Spike Reply): esposizione non male, forse un po' scolastica, ma contenuti insufficienti. Tecniche di SQL Injection veramente banali con esempi a dir poco sconcertanti. Secondo voi una SQL Injection in una banca riesce a cambiare la disponibilità di soldi nel vostro conto corrente? E' abbastanza ingenuo pensare che non vi siano meccanismi di controllo e quadrature che rilevino le anomalie. E' anche abbastanza ingenuo che in una banca vi sia una Web Application direttamente connessa allo strato dati. Molte persone della platea si sono spazientite nel vedere un intervento così banale. Intervento pessimo, ma incoraggiamo il giovane.


• "Web Services and SOA Security " di Laurent Petroque (F5): niente di particolarmente innovativo ma capacità espositive notevoli. Un bell'intervento, gradevole e con uno speaker preparato a gestire platee così ampie. Buon livello.


• "How to start a software security initiative within your organization: a maturity based and metrics driven approach." di Marco Morana (OWASP USA Chapter Lead, TISO Citigroup): Morana è un esperto e si vede. Ineccepibile sotto ogni punto di vista. Esperienza e capacità di esporre impeccabile. Intervento eccezionale senza alcun dubbio. Dimostra il suo valore anche nella tavola rotonda che praticamente gli ruota attorno.


• "Secure Programming with Static Analysis" di Jacob West (Head of Fortify Software's Security Research Group): un intervento tecnico assolutamente di alto livello. Jacob è preparatissimo e non poteva essere altrimenti. E' infatti l'autore insieme a Gary McGraw di "Secure Programming with Static Analysis" e anche di SCA di Fortify. Esposizione impeccabile da una persona abituata a fare interventi in conferenze. Intervento di altissimo livello.


• "The Owasp Orizon project: internals and hands on" di Paolo Perego (Spike Reply): bravo Paolo. Risolleva le sorti del capitolo italiano di OWASP. Intervento interessante centrato tutto sul progetto di cui è leader e ideatore. Progetto sicuramente interessante che vi consiglio di seguire. Ottime capacità espositive. Ottimo intervento.


• "Internet Banking and Web Security" di Giorgio Fedon (Minded Security): purtroppo non ho avuto modo di seguire il suo intervento, ma dalla tavola rotonda si vede che è persona acuta e abituata a gestire il contraddittorio.

Tavola rotonda:

Oltre a Raul Chiesa che ha dispensato i suoi soliti consigli da Hacker attempato, Matteo Flora ha fatto il suo show. Giorgio Fedon ha polemizzato con lui in modo costruttivo sulla Full Disclosure e, sebbene Matteo F. sia "animale" da "palcoscenico", il buon Giorgio ha vinto ai punti. Marco Morana poi dominava come figura GURU straripante di esperienza.

Matteo F. sei giovane per fare l'evangelist-showman all'americana ;-)

In conclusione un bell'evento ma con luci ed ombre. La sede e l'organizzazione logistica, gentilmente offerte dall'Università e dal gruppo di sicurezza del Dipartimento di Informatica, sono state comunque all'altezza. Forse è mancata solo un pò di maturità da parte del capitolo italiano di OWASP. Maturità che invece si è manifestata prepotentemente da parte di OWASP USA.

Continuate però a seguirli perché sicuramente faranno grandi cose. Sono giovani ma con un enorme potenziale.