Roberto Preatoni dan WabiSabi Labi

Well…WabiSabi Labi, industri baru yang dibungkus dengan nuansa dan inovasi baru sebagai tempat penjualan 0day sepertinya harus menunda pesta meriahnya. Roberto Preatoni, salah satu co-founder dan direktur strategi perusahaan ini plus founder dari Zone-H ditangkap di italy atas kasus skandal berupa penyadapan terhadap Telecom Italy.

Penangkapan preatoni tidak ada sangkut pautnya dengan pasar jual-beli 0day tersebut, preatoni ditangkap berhubungan dengan pekerjaannya sebagai security consultant. Telecom italy menggunakan tenaga preatoni beserta “tiger team”-nya sebagai security expert untuk melakukan proses penetration testing terhadap tingkat security IT perusahaan tersebut. Namun anggota tiger team ini ketahuan memasang trojan horse dan melakukan penyadapan data-data rahasia terhadap sejumlah orang penting, diantaranya CEO dari Brazil Telecom. Preatoni diduga membantu proses setting-up aksi skandal ini saat sedang melakukan pekerjaannya sebagai security consultant.

Aksi skandal ini memang tidak berhubungan dengan WabiSabi Labi, namun secara tidak langsung akan berpengaruh pada kredibilitas market tersebut. Konsep WabiSabi Labi sebenarnya tidak jauh berbeda dengan perusahaan-perusahaan seperti 3Com, iDefense, Immunity yang membayar *researcher* untuk menyediakan 0day. Namun industri-industri tersebut umumnya membeli exploit untuk kemudian dilaporkan kepada vendor yang bersangkutan, dengan kata lain industri-industri tersebut bisa menjadi media/jembatan antara pihak yang menemukan vulnerability suatu aplikasi dengan vendor yang memproduksi aplikasi tersebut, dan tentu saja ada imbalan yang akan diberikan kepada si penemu vulnerability untuk jerih payahnya melakukan riset dalam menemukan bugs (fuzzer, hunneh?!).

WabiSabi Labi merupakan industri yang membuka pasar secara lebih terbuka, dalam arti…jika kamu memiliki sebuah 0day, maka kamu bisa menjualnya melalui WabiSabi Labi dan ditawarkan kepada pembeli secara bebas (aha, teringat dengan pasar darknet?), siapapun bisa membayar untuk exploit tersebut. Dan mekanismenya bahkan lebih eksklusif, yaitu pembeli 0day bisa menentukan eksklusifitas-nya dimana WabiSabi Labi tidak akan menjual 0day tersebut kepada pihak lain, jadi hanya pembeli eksklusif itulah yang memiliki 0day itu.

Hal lain nya?WabiSabi Labi juga akan menjadi vendor penyedia produk IDS (Intrusion Detection System) yang bekerja sama dengan produsen hardware tertentu untuk menyediakan produk ini, dan signature untuk IDS ini menggunakan database 0day yang diperjual belikan pada pasar WabiSabi Labi. Tentu saja, si penyumbang eksploit akan mendapatkan semacam royalti selama 0day nya masih ada di database dan digunakan oleh client. Dengan memanfaatkan WabiSabi Labi maka para penyumbang 0day (call it researcher, or…blackhat or..whatever):

1. Akan mendapatkan bayaran atas jerih payah nya (dlm hal ini Wabi bertindak sebagai broker), jumlah nya pun mungkin bisa jadi lebih besar dibandingkan menggunakan jasa iDefense dll (jelas, karena pihak pembeli bisa siapapun, termasuk organisasi kriminal yang ingin mendapatkan akses ssh ke bank, misalnya :P).
2. WabiSabi Labi pun dalam hal ini akan bertindak sebagai vendor security penyedia produk dengan signature database 0day yang belum di-publish dimanapun (ini teknik marketing baru yang cerdik untuk menarik banyak client 🙂 ).
3. Buat kamu-kamu yang punya 0day pun akan mendapatkan royalti selama signature database nya masih digunakan oleh client, berarti duit ngalir dan riset tidak sia-sia (duit..duit..duit..duit.. 😉 ).
4. Dll

Itu sekelumit cerita tentang WabiSabi Labi dan Roberto Preatoni sebagai salah satu founder nya, yang ternyata harus di-busted akibat tuduhan membantu setting-up skandal pemasangan trojan dan penyadapan data-data penting saat diberikan kepercayaan untuk melakukan audit security. Yang pasti, akibat kejadian ini mungkin pihak vendor akan lebih berhati-hati saat menyewa security consultant, bisa jadi mereka menyewa maling yang berkostum polisi ;).

So, ada yang tertarik bermain di WabiSabi Labi untuk duit tambahan?atau lebih suka memamerkan exploit di milw0rm/bugtraq dengan quote shout yang panjang namun inti exploit cuma 3 baris?atau lebih memilih masuk dalam kegelapan dunia underground dan bertransaksi disana?atau…cukup simpan sendiri dan menikmati keluar masuk server pemerintah kemudian baca email-email mereka maupun digunakan untuk kampanye umum (DEFACE!!!) melakukan protes terhadap negara lain misalnya?

Well, the choice is yours, you guys know who you are… =))