bstok . ms – Białostocka Grupa Sympatyków Microsoft #35

Z wielką przyjemnością chcielibyśmy ogłosić kolejne spotkanie Białostockiej Grupy Sympatyków Microsoft! 📢 🗓️ 04.11.2026 o godz. 18:00 widzimy się w Zmianie Klimatu w Białymstoku! 🗓️ Formuła tego spotkanie przybierze zwyczajny kształt – będą to dwie techniczne pełnowymiarowe prelekcje. 👌 ➡️ Oczywiście bez wsparcia z zewnątrz nasze spotkania nie byłyby możliwe do zrealizowania, więc nieodłącznym elementem jest współpraca z naszymi partnerami! 4BEARS, Euvic, JetBrains, Sii – dziękujemy za możliwość realizacji takich eventów! Oto agenda spotkania: 🟣 Start i networking – 18:00 🟣 Rozpoczęcie części głównej – 18:30 ◽ Sesja I – 18:40 Jakub Sikora – „Przejęliśmy drony i wywaliliśmy je z mapy. To samo mogę zrobić z Twoją zabezpieczoną usługą” System wyświetlał pozycje dronów, obserwacje i dane operacyjne. Komunikacja szyfrowana, profesjonalny panel, operatorzy mieli wszystkie powody, by ufać temu, co widzieli na mapie. Aż my – i 11 innych zespołów – rozebraliśmy firmware i protokół, po czym wysłaliśmy ich drony w pilną misję… prosto do wnętrza Ziemi. Możesz mieć własny format pakietów, stosować AES-ECB, efemeralne klucze z autodestrukcją – ale jeśli w autoryzacji jednego endpointa wprowadzisz głupiego buga, podszyjemy się pod Twoje urządzenie. Wyślemy poprawnie zaszyfrowaną, ale spreparowaną telemetrię. Twój frontend narysuje współrzędne idealnie. A reszta systemu – i ludzie – uwierzą w 100% w dane, które Ci wstrzyknęliśmy. Ta historia wydarzyła się podczas ćwiczeń Cyberlegionu, ale sam mechanizm jest zupełnie zwyczajny w całej branży. W ten sam sposób aplikacje ufają webhookom tylko dlatego, że przyszły przez HTTPS, tokenom JWT bez sprawdzania odbiorcy, wiadomościom z kolejki bez ochrony przed replay attack, czy danym z urządzeń, których nikt nie weryfikuje w kontekście biznesowym. Podczas prezentacji przejdziemy od analizy pakietu przez pięć warstw zaufania: tożsamość nadawcy, integralność, świeżość, autoryzacja i sens danych. Uczestnicy wyjdą z prostym modelem przeglądu API i systemów zdarzeniowych – plus trzema testami, które od razu mogą wrzucić do backlogu. Bez kosztownej przebudowy całej produkcji. Szyfrowanie powie Ci, że ktoś nie przeczytał wiadomości. Ale nie odpowie, kto ją napisał, kiedy powstała – i czy system powinien na jej podstawie cokolwiek zrobić. 🟣 Przerwa – 19:30 ◽ Sesja II – 19:40 Hleb Sukrystsik – „Budowanie własnego Agent Harness: Uzasadnienie, Architektura, Pierwsze Kroki” 🟣 Zakończenie części z prelekcjami – 20:30 🟣 Panel dyskusyjny – 20:50 🟣 Zakończenie – 00:00