Йоа́нна Рутко́вскаяСогласно польско-русской практической транскрипции. В некоторых русскоязычных источниках её имя записывается двойным транскрибированием (через англоязычный вариант) — Джоанна Рутковска. (; , ) — польский специалист и исследователь в области информационной безопасности. Известна в первую очередь по её исследованиям низкоуровневой защиты и скрытого программного обеспеченияInvisible Things Lab — Resources .
Я — исследователь, который фокусируется на проблемах безопасности системного уровня, например, в ядре, гипервизоре, чипсете и т. д. Именно исследователь, а не охотник за уязвимостями или тестер. Меня больше интересуют фундаментальные проблемы, а не какие-то конкретные «дыры» в каких-либо программах пользователей. Например, может ли ОС или платформа обеспечить какую-либо защиту пользователя, несмотря на то, что приложения, например, Adobe Reader или IE могут быть потенциально скомпрометированы? Я верю в «безопасность путём изоляции».
После её выступления на Black Hat в 2006 году во многих публикациях её стали называть хакером, однако сама Йоанна против этого, заявив об этом в одном из интервью в конце 2007 года:
Я не считаю себя хакером (хотя в прессе меня часто так называют). Я считаю себя исследователем в области компьютерной безопасности, а с недавних пор — ещё и бизнесвумен.
Биография Детство и юность (1981—2003) Родилась в 1981 году в Варшаве, Польша. В 11 лет получила свой первый компьютер. Им стал PC/AT 286, оснащенный процессором, работающим на частоте 16 МГц, 2 Мбайт памяти и 40-мегабайтным жёстким диском.
Практически сразу познакомилась с GW-BASIC, а примерно через год перешла на Borland Turbo Basic. Начав программировать, Йоанна стала интересоваться как работает операционная система. В возрасте примерно 14 лет она начала изучать язык ассемблера для архитектуры x86 (на MS-DOS) и плавно перешла к написанию вирусов, после чего больше сосредоточилась на математике и искусственном интеллектеJoanna Rutkowska — o sobie i bezpieczeństwie systemów operacyjnych . Затем начала изучать основы построения сетей, Linux, системное программирование, что в конце 1990-х гг. вновь привело её к области компьютерной безопасности и написанию эксплоитов для Linux x86, а затем и для Win32-системRutkowska: Anti-Virus Software Is Ineffective. Так что, как и многие из известных исследователей, Йоанна начала писать эксплоиты в подростковом возрасте.
Свой первый хак Йоанна сделала после прочтения нашумевшей статьи в журнале Phrack об эксплойте, разрушающем стек, который она также самостоятельно скомпилировала и протестировала:
Через несколько лет она бросила писать эксплойты, но с удовольствием вспоминает то чувство удовлетворения, вызываемое написанием хорошего эксплойта:
Затем она постепенно продвинулась дальше: уязвимости ядра, руткиты, скрытые каналы и прочее, а также способы борьбы со всеми этими уязвимостями. В одном из интервью 2007 года она вспоминает:
Параллельно с этим закончила Варшавский политехнический институт, получив степень магистра в области информатикиAbout the company . По её воспоминаниям, женщины составляли всего лишь около 5 процентов от общего числа студентов факультета, где Рутковская изучала математикуBlack Hat Woman . По её выражению, её университетское обучение имело мало общего с безопасностью. Так, в одном из интервью она сказала, что хоть и изучала информатику в Варшавском Политехническом институте, но большинство вещей изучила сама, как и многие коллеги по отрасли.
Первые исследования (2001—2002) Примерно в 2001 г. Йоанна начала всерьез заниматься исследованиями в области компьютерной безопасности для платформ на базе операционных систем Linux и Win32, а спустя два года переходит к исследованиям в области программ, работающих по технологии «невидимок» ()CONFidence 2007 — konferencja bezpieczeństwo sytemów, ochrona fizyczna, security.Joanna Rutkowska .
Начало профессиональной карьеры (2003—2006) В середине октября 2004 года Рутковская выступила на конференции IT Underground 2004, проходившей 12—13 октября в Варшаве. Ею были представлены две презентации, посвящённые руткитам для платформ Linux и Win32, а также методам их обнаружения. Первая презентация «Черные ходы в ядре Linux и их обнаружение»Linux Kernel Backdoors And Their Detection была посвящена двум способам реализации умных черных ходов ядра в сетевом стеке ядра Linux () при помощи обработчика ptype и Netfilter, а также представила оригинальные способы их обнаружения, которые впоследствии были успешно реализованы в одном из коммерческих инструментов, написанных самой Йоанной. Также в ней была представлена идея пассивных скрытых каналов, используемая в описанных способах.
Во второй презентации «Обнаружение руткитов на системах Windows»Rootkits Detection on Windows Systems шло обсуждение обнаружение руткитов уровня пользователя и уровня ядра. Первая половина презентации была посвящена применению MS Kernel Debugger (совместно с LiveKD) для обнаружения руткитов уровня пользователя. Остальная часть была посвящена более продвинутым руткитам уровня ядра, а также в ней были представлены некоторые идеи по их обнаружению.
Помимо этого, подтекстом выступления было обсуждение способов как сделать руткиты совершеннее. Во время ланча Йоанна продемонстрировала, как можно при помощи фактически одной инструкции (иногда упоминаемой как «любимая инструкция Синана», ) обнаружить использование VMwareIT Underground trip report (то есть идея, положенная в основу проекта Red Pill).
20 октября 2004 года Йоанна оставила первую запись на своем персональном веб-сайте invisiblethings.org, и на следующий день опубликовала на нём материалы обеих презентаций с ITUnderground.
28 декабря 2004 года на Всемирном конгрессе хакеров, проходящем в Берлине (Германия) с 27 по 29 декабря, Йоанна представляет доклад «Пассивные скрытые каналы в ядре Linux»Passive covert channels in the Linux kernel . Темой доклада стали пассивные скрытые каналы (сокр. ПСК; , сокр. ), не генерирующие собственного трафика, а лишь меняющие некоторые поля в пакетах, создаваемых легальными пользовательскими приложениями или процессами на зараженной машине.
28 сентября 2005 года Йоанна выступила с презентацией «Скрывать и находить: определение пути выявления вредоносного ПО на Windows»Hide-And-Seek: Defining the Roadmap for Malware Detection on Windows на конференции «Хак в коробке»Hack In The Box , проходившей с 26 по 29 сентября в Куала-Лумпуре (Малайзия), параллельно представив при этом несколько своих разработок, в том числе и System Virginity Verifier. Основной целью презентации было определение списка жизненно важных частей операционной системы и методология выявления вредоносного ПО. Список начинается с таких основных вещей как действия, необходимые для проверки целостности файловой системы и реестра, затем следом идет проверка памяти уровня пользователя (выявление посторонних процессов, вредоносных динамических библиотек (DLL), инжектированные потоки и прочее), и заканчивается такими продвинутыми вещами как определение жизненно важных частей ядра, которые могут быть изменены современным вредоносным ПО, основанном на руткитах (при помощи таких способов, как Raw IRP hooking, различные DKOM-манипуляции или трюки с виртуальными машинами). Причём вне зависимости от полноты данного списка, по мнению Йоанны, для компрометирования системы вредоносным ПО будет использоваться лишь определенное число методов, то есть такой список на любом этапе не может быть бесконечным, а его полнота будет зависеть лишь от сообщества специалистов. В принципе, создание такого списка может значительно повысить осведомленность об угрозах и, в конечном счете, позволит создание более совершенных программ защиты от вредоносного ПО. Концепты подобных программ Йоанна и представила на своей презентации, наряду с несколькими интересными вредоносными программамиHITBSecConf2005 — Malaysia " Joanna Rutkowska .
В качестве реализации своей идеи описанного сообщества, занимающегося выявлением методов компрометирования систем, Йоанна там же, на конференции, представила проект открытых методологий поиска компрометацийOpen Methodologies for Compromise Detection (, сокр. . Данный проект был начат в самом начале сентября совместно с Институтом безопасности и открытых методологий. В рамках проекта под руководством Йоанны должны были вестись работы над методологией обнаружения вредоносного ПО и руткитов на системах Windows для определения стандарта как для исследователей, так и для разработчиков инструментов, автоматизирующих этот процесс(OWASP-NewJersey) Fw: (ISECOM-news) new project released — OMCD.
25 января 2006 года Йоанна выступила с презентацией на Black Hat Federal, проходившей с 23 по 26 января в Вашингтоне (США), на тему «Охота на руткиты против выявления скомпрометированности»Black Hat Briefings Federal 2006 Schedule . Презентация была посвящена описанию типов скомпрометированности системы, а также в ней было представлено описание способов достижения атакующим полной невидимости без использования классической технологии руткитов. В ходе презентации Йоанна рассматривала такие традиционные уловки руткитов как перезагрузка, сокрытие процессов, открытые сокеты. Также она представила свой новый руткит DeepDoor (разглашать какие-либо подробности о котором она отказалась), способный взламывать код NDISWindows Network Driver Interface Specification путём модифицирования четырёх слов в области памяти, где NDIS хранит свои данные. Во время демонстрации Йоанна продемонстрировала, как её руткит исправно выполнял свою задачу по перехвату трафика даже несмотря на то, что межсетевой экран ZoneAlarm блокировал ему доступ. В итоге, Йоанна заявила, что безопасного способа читать память с ядром в Windows не существует. По её мнению, Microsoft должна предоставить возможность сторонним компаниям предлагать решения по защите памяти с ядром. Эксперты, наблюдавшие эту презентацию охарактеризовали её как впечатляющую работу и безумиеBlack Hat Federal 2006 Wrap-Up, Part 3 .
Эта же презентация была представлена и 1 февраля 2006 года на конференции IT-Defense, проходившей с 30 января по 3 февраля в Дрездене, ГерманияIT-DEFENSE 2006 | AGENDA IT-DEFENSE 2006 | VORTRÄGE .
Позднее, на базе представленной классификации, а именно 24 ноября 2006 года, Йоанна опубликовала более расширенную версию своей классификации вредоносного ПО, добавив в неё, в частности, третий тип вредоносного ПОIntroducing Stealth Malware Taxonomy .
Период работы в COSEINC Research (2006—2007) Точная дата начала официальной работы Йоанны с COSEINC неизвестна. Однако, известно, что это состоялось примерно в марте-апреле 2006 года, поскольку в мартовском интервью Йоанна отозвалась о себе как об исследователе вопросов безопасности, работающем над проектами, связанными с ИТ-безопасностью, для различных компаний по всему мируStealth Malware: Interview with Joanna Rutkowska , однако в конце июня в своем блоге она написала, что Blue Pill разработана эксклюзивно для COSEINC, а работу над этим проектом она начала в марте 2006 года.
13 мая 2006 года выступила на конференции по компьютерной безопасности CONFidence, проходившей в Кракове с 13 по 14 маяCONFidence 2006 — trip report Materiały zgodnie z programem konferencji . Её доклад, озаглавленный как «Rootkits vs. Stealth by Design Malware» (), был посвящён вопросам, связанным с функционированием руткитов.