Lire son Passe Navigo en un clin d’œil

Magazine
Marque
MISC
Numéro
48
|
Mois de parution
mars 2010
|
Domaines


Résumé

Les systèmes de billetterie des sociétés de transports en commun sont actuellement en pleine mutation. Ils reposaient depuis plusieurs années sur des tickets imprimés ou à piste magnétique, mais la tendance actuelle vise à les remplacer par des cartes utilisant de l’identification par radiofréquence (RFID [1]).


La suite est réservée aux abonnés. Déjà abonné ? Se connecter

Sur le même sujet

Antivirus Avira (CVE-2019-18568) : quand l'authentification d'un PE mène à une LPE

Magazine
Marque
MISC
Numéro
108
|
Mois de parution
mars 2020
|
Domaines
Résumé

En juillet 2019, je me suis penché sur la sécurité d'un antivirus grand public, connu sous le nom de « Avira ». Lors de cette analyse, j'ai identifié, dans le driver en charge d'authentifier un programme exécutable, une vulnérabilité menant à une élévation de privilèges. Après une brève présentation du composant noyau, nous étudierons en détail la vulnérabilité et préparerons les éléments nécessaires à la réussite d'une exploitation.

Analyse UEFI avec Windbg

Magazine
Marque
MISC
Numéro
108
|
Mois de parution
mars 2020
|
Domaines
Résumé

La dernière étape dans la mise en place d’un environnement de travail complet en UEFI va être l’installation d’un debugger. Celui-ci va permettre de, non seulement faciliter le développement au sein du micrologiciel, mais aussi de comprendre dynamiquement le code source. Dès lors, il sera possible de mieux appréhender ce code afin de l’éditer et créer son propre UEFI.

Extraction des secrets de lsass à distance

Magazine
Marque
MISC
Numéro
108
|
Mois de parution
mars 2020
|
Domaines
Résumé

Le mouvement latéral est une composante essentielle des tests d’intrusion. Cette phase peut être fastidieuse si les cibles sont correctement protégées. L’outil « lsassy » répond à ce besoin en permettant d’extraire à distance les secrets présents sur des machines.

Mécanismes de défense en profondeur de Safari sur iOS

Magazine
Marque
MISC
Numéro
108
|
Mois de parution
mars 2020
|
Domaines
Résumé

Les navigateurs sont depuis plusieurs années une cible de choix pour obtenir une exécution de code arbitraire initiale dans la chaîne de compromission d’un équipement « client », que ce soit une station de travail classique ou un smartphone. La prolifération des vulnérabilités et techniques d’exploitation encourage les éditeurs à mettre en place de la défense en profondeur afin de supprimer des classes entières de vulnérabilités ou rendre leur exploitation particulièrement complexe.

Introduction au dossier : Sécurité des navigateurs web : où en sommes-nous ?

Magazine
Marque
MISC
Numéro
108
|
Mois de parution
mars 2020
|
Domaines
Résumé

Il y a maintenant 5 ans, MISC dédiait un dossier complet à la sécurité des navigateurs web [1]. Il y était traité de sandboxing sous Firefox, de JIT, de cloisonnement JavaScript, d’exploitation du navigateur Chrome sous Android. Une grande partie de ce qui a été écrit à l’époque est encore en partie valide et je vous invite à y jeter un œil si vous ne connaissez pas déjà ce dossier.

Par le même auteur

Investigation numérique dans votre portefeuille

Magazine
Marque
MISC
HS n°
Numéro
15
|
Mois de parution
juin 2017
|
Domaines
Résumé

Dans notre monde toujours plus connecté, les cartes à puce sont impliquées quotidiennement dans nos activités, que ce soit pour le paiement, le transport, le contrôle d'accès ou encore la santé. Ces cartes contiennent des informations personnelles liées aux faits et gestes de leur possesseur. Cet article décrit les informations qu’il a été possible de récupérer à partir des cartes disponibles dans un porte-feuille. Parmi ces informations, on retrouve par exemple le nom du possesseur de la carte, ses derniers trajets en bus, les prénoms de ses enfants, sa photo, ou son numéro de compte.

Cassage de mots de passe : que mettre dans votre boîte à outils ?

Magazine
Marque
MISC
Numéro
89
|
Mois de parution
janvier 2017
|
Domaines
Résumé

L'usage de mots de passe reste encore aujourd'hui le moyen le plus utilisé pour le contrôle d'accès en informatique. Le talon d'Achille des mots de passe est pourtant connu de longue date : il s'agit des utilisateurs, qui choisissent des mots de passe faciles à mémoriser. Malheureusement, un mot de passe facile à mémoriser est souvent synonyme de mot de passe facile à casser. Cet article a pour objectif de présenter aux administrateurs de systèmes les outils les plus efficaces aujourd'hui pour tester la solidité des mots de passe des utilisateurs de leurs systèmes.

L'informatique ubiquitaire : une menace pour la vie privée ?

Magazine
Marque
MISC
HS n°
Numéro
8
|
Mois de parution
octobre 2013
|
Domaines
Résumé

L'informatique ubiquitaire est une approche récente de l'informatique où le traitement de l'information est intégré dans les objets de tous les jours. On la retrouve ainsi dans les véhicules modernes, les appareils électroménagers, les dispositifs médicaux implantés, etc., mais aussi dans tous les objets qui intègrent de l'identification par radiofréquence (RFID). La technologie en elle-même n'est certainement pas à remettre en cause, mais la manière dont elle est utilisée peut parfois constituer une menace pour notre vie privée si quelques précautions ne sont pas prises.Cet article introduit le concept de vie privée et présente quatre applications de la vie de tous les jours où le sentiment que notre vie privée est menacée se fait sentir. L'objectif de cet article n'est pas de prêcher contre ces technologies, mais, bien au contraire, de mettre en garde concepteurs et utilisateurs sur les risques parfois mal connus que font courir les technologies ubiquitaires, afin de mieux les maîtriser.

Banques en ligne : à la découverte d'EMV-CAP

Magazine
Marque
MISC
Numéro
56
|
Mois de parution
juillet 2011
|
Domaines
Résumé
La plupart des banques belges déploient actuellement à grande échelle (certaines depuis plusieurs années déjà) un nouveau mode d'authentification pour autoriser leur clientèle d'accéder à leurs services via Internet. Elles distribuent un petit appareil ressemblant à une calculette pourvu d'un clavier numérique, d'un écran et d'un lecteur de carte à puce. Cet appareil, en combinaison avec la carte bancaire, offre la possibilité de s'authentifier sur le site web de la banque et de signer des transactions en ligne, sur ce même site ou sur un site marchand. Cet article vous entraîne dans la découverte du fonctionnement et de l'implémentation du protocole EMV-CAP, puisque tel est son nom. Dans de nombreux pays, les banques distribuent un appareil semblable, qui a fait l'objet de plusieurs études par des experts reconnus en sécurité, notamment en Angleterre et aux Pays-Bas. Nous comparerons ainsi le fonctionnement et les options prises par les banques de ces pays. Nous passerons en revue certaines attaques publiées contre EMV afin de déterminer si elles s'appliquent également dans le cadre d'EMV-CAP. Grâce à la compréhension du protocole EMV-CAP, nous dissiperons certaines incertitudes quant au fonctionnement interne de ces appareils et nous montrerons qu'il existe des moyens qui rendent ce système encore plus sûr. Une émulation logicielle est également mise à disposition pour ceux qui désirent expérimenter.

Lire son Passe Navigo en un clin d’œil

Magazine
Marque
MISC
Numéro
48
|
Mois de parution
mars 2010
|
Domaines
Résumé

Les systèmes de billetterie des sociétés de transports en commun sont actuellement en pleine mutation. Ils reposaient depuis plusieurs années sur des tickets imprimés ou à piste magnétique, mais la tendance actuelle vise à les remplacer par des cartes utilisant de l’identification par radiofréquence (RFID [1]).

NXP Mifare Classic : une star déchue

Magazine
Marque
MISC
HS n°
Numéro
2
|
Mois de parution
novembre 2008
|
Domaines
Résumé

Frénésie, le mot n'est pas trop fort pour décrire l'engouement actuel envers le sans contact. Plus question désormais de se torturer l'esprit pour comprendre le pictogramme décrivant la façon d'insérer une carte à puce dans un lecteur ; il suffit de passer sa carte à proximité de celui-ci et le tour est joué. La star de toutes ces cartes sans contact, la figure de proue du domaine, c’est la NXP Mifare Classic (une icône vendue à plus d’un milliard d'exemplaires). Dans cet article, nous présentons comment elle fut lapidée au printemps 2008, lorsque plusieurs équipes de recherche ont mis au grand jour des failles de sécurité aussi sérieuses qu’impardonnables. La star déchue entraîne dans sa débâcle des millions de systèmes de contrôle d'accès, de billetterie et de porte-monnaie électronique.