Portofoliu
💼 Proiecte
UTMS (Universal Time Modeling System)
O abordare radical nouă a modelării timpului, obiceiurilor și sarcinilor. Configurat cu entități programabile LISP, urmărește nu doar sarcinile, ci și contextul, condițiile, întreruperile și modelele emergente. Proiectat pentru a spori controlul uman asupra timpului. Nucleul este scris în Python, configurarea în Hy (LISP pe Python), frontend-ul în React + vite + TypeScript.
OWASP Raider
Un framework de testare a autentificării web pentru explorarea fluxurilor complexe de sesiune HTTP. Construit în Python, configurabil cu Hy (LISP pe Python). Prezentat la mai multe conferințe de securitate. Raider modelează autentificarea ca o mașină de stări programabilă, permițând cercetătorilor în securitate să scripteze interacțiuni complexe ce implică redirecționări, token-uri CSRF și autentificări în mai mulți pași.
Bug Bounties & Responsible Disclosure
Am dezvăluit în mod privat vulnerabilități critice în aplicații de profil înalt și sisteme bancare prin intermediul Synack Red Team și alte canale responsabile.
🎤 Prezentări și Discursuri
-
Ruby Unconf (2019) — “Attacking own APIs to find security bugs”
Am vorbit despre securitatea API-urilor la un eveniment Ruby Unconf, explicând cum funcționează web fuzzing-ul. -
Mai multe demonstrații la conferințe de securitate (OWASP Raider, 2023)
Am prezentat abordarea inovatoare a lui Raider pentru testarea fluxurilor de autentificare folosind scripturi stateful (cu menținerea stării).
📰 Apariții Media
Uneori, fața mi-a fost pixelată.
Uneori, numele mi-a fost schimbat.
Dar munca — și impactul — au fost reale.
BDO Foresight 4/2024 — “Ich gehöre zu den Guten!” – Motive eines Hackers
Intervievat sub pseudonim de echipa editorială BDO, acest articol de fond prezintă povestea mea, munca de hacking etic și descoperirea unui zero-day.
Citiți articolul complet (în germană) sau Descărcați PDF-ul
WELT / ComputerBild (2014) — “So leicht kommen Hacker an Ihre Urlaubsfotos”
Am fost angajat pentru a demonstra vulnerabilitățile chioșcurilor foto folosind hardware Raspberry Pi și Teensy. Articolul a fost publicat cu imagini blurate și fără atribuire.
Articolul Welt, Articolul Spiegel, Comunicat de presă Computerbild (toate în germană).
PortSwigger (2023) — “Raider: A tool to test authentication in web applications”
Raider a apărut în Daily Swig de la PortSwigger, subliniind capacitatea sa de a automatiza testarea stateful a fluxurilor de autentificare web.
Citiți articolul
PortSwigger (2020) — “Tiny Tiny RSS developers act promptly to resolve big, big security problems”
Reportaj despre vulnerabilitățile critice pe care le-am descoperit în Tiny Tiny RSS, care au condus la CVE-2020-25787–89.
Citiți articolul
🛡️ CVE-uri Notabile
-
Serie de vulnerabilități în TinyTinyRSS ce permit ocolirea autentificării și execuția de cod. Un feed malițios special creat, care exploatează bug-uri în whitelist-ul de URL-uri, a condus la SSRF → LFI → RCE prin FastCGI — scrierea unui backdoor PHP care permite execuția arbitrară de comenzi pe configurațiile vulnerabile TT-RSS Docker. Citiți articolul de pe blog și raportul PDF.
-
Vulnerabilitate de autentificare în Spring Security Framework de la Pivotal. Am identificat un defect logic în Spring Security 4.2.x cu PlaintextPasswordEncoder atunci când există mai multe coloane pentru parole hash-uite și una dintre ele este NULL. Acest lucru făcea ca autentificarea să reușească pentru orice nume de utilizator cu parola “null”. Raportat echipei Spring — remediat în versiunea 4.2.13.
🛠️ Unelte & Contribuții
- Pipeline-uri interne DevSecOps — am proiectat și implementat verificări automate de securitate în fluxurile CI/CD.
- Materiale de training pentru Wireshark — am creat cursuri video originale și exerciții pentru certificarea WCNA.
📜 Certificări
- OSCE — Offensive Security Certified Expert (nu am finalizat examenul, deoarece certificarea a fost retrasă)
- OSCP (2017) — Offensive Security Certified Professional
- OSWP (2018) — Offensive Security Wireless Professional
- WCNA (2012) — Wireshark Certified Network Analyst
- CompTIA A+ (2010)
- Scrum Master (PSM-i)
🧠 Competențe
Pentru o listă exhaustivă de unelte, tehnologii și competențe, consultați pagina mea de competențe.
Doriți să colaborăm, să mă angajați sau să mă consultați pe un subiect de securitate?
Contactați-mă sau programați o întâlnire