Ondřej Dohnal
Působí ve společnosti GINA Software, kde se věnuje softwarové architektuře, infrastruktuře, automatizaci a kybernetické bezpečnosti. Nejblíže má k Linuxu, Kubernetes, DevOps a open-source technologiím. Zajímá ho především návrh a provoz spolehlivých systémů.
Baví ho open-source technologie, hledání řešení netradičních technických problémů a zjišťování, proč věci nefungují tak, jak by podle dokumentace měly. Rád propojuje teorii s praktickými zkušenostmi z reálného provozu a sdílí poznatky, ke kterým se běžně člověk dostane až po několika hodinách debugování.
Přednášky
Dokážete skutečně ověřit, kdo vám poslal e-mail? A co když zpráva, která vypadá jako legitimní komunikace z důvěryhodné domény, ve skutečnosti pochází od útočníka?
Protokoly SPF, DKIM a DMARC představují základní stavební kameny zabezpečení e-mailové komunikace. Jejich nesprávná konfigurace nebo spoléhání pouze na jeden z nich však může vytvářet falešný pocit bezpečí.
SPF umožňuje ověřit, zda e-mail přichází ze serveru autorizovaného k odesílání pošty za danou doménu. Co se ale stane, pokud útočník získá přístup k infrastruktuře, jejíž IP adresy jsou v SPF záznamu povolené? Může pak odesílat podvržené e-maily, které úspěšně projdou kontrolou SPF?
Na praktických příkladech si ukážeme, jak fungují SPF, DKIM a DMARC, kde jsou jejich limity a jak mohou zdánlivě nevinné chyby v DNS konfiguraci umožnit zneužití důvěryhodné domény. Zaměříme se také na to, proč samotné SPF nestačí, jakou roli hraje kryptografický podpis DKIM a proč je správně nastavený DMARC zásadní pro ochranu před podvržením identity odesílatele.
Provoz Kubernetes v prostředí bez přístupu k internetu vypadá na první pohled jednoduše: stáhneme potřebné image, balíčky a instalaci provedeme offline. V praxi ale velmi rychle zjistíme, že moderní cloud-native stack má překvapivě mnoho skrytých závislostí na externích službách.
Přednáška ukáže zkušenosti z návrhu a provozu air-gapped Kubernetes prostředí založeného na kubeadm a CRI-O. Podíváme se na distribuci container images, offline repozitáře, Helm charty a jejich závislosti, aktualizace, PKI, DNS, NTP, observability i licencování softwaru. Zaměříme se také na problémy, které se projeví až v okamžiku, kdy internet skutečně odpojíme.
Na konkrétních příkladech si ukážeme, proč nestačí pouze provozovat vlastní container registry, jak připravit kompletní a reprodukovatelný deployment artifact a proč je air-gapped Kubernetes především problémem řízení software supply chainu.
Cílem není ukázat jediný správný způsob, jak offline Kubernetes postavit, ale praktické chyby, slepé uličky a principy, které se nám při provozu takového prostředí osvědčily.