6 bonnes façons de rendre votre programme vulnérable

Magazine
Marque
MISC
Numéro
65
|
Mois de parution
janvier 2013
|
Domaines


Résumé
Stripe, une solution de paiement en ligne, est à l'origine d'un Capture The Flag à la fois ludique et instructif. Les six niveaux de ce challenge offrent un joli tour d'horizon des grandes catégories d'erreur de programmation à ne pas commettre. Nous proposerons dans cet article une analyse de chacun de ces niveaux afin de comprendre la vulnérabilité qui y a été introduite, la façon de l'exploiter et surtout les bonnes pratiques à adopter pour éviter de reproduire ces erreurs dans vos futurs programmes.

La suite est réservée aux abonnés. Déjà abonné ? Se connecter

Sur le même sujet

Contrôles de suivi de la conformité RGPD et d’atteinte d’objectifs définis dans la politique de protection de la vie privée

Magazine
Marque
MISC
Numéro
110
|
Mois de parution
juillet 2020
|
Domaines
Résumé

Afin de mettre en application les exigences de contrôle de conformité (article 24 du RGPD), les directions générales, qu’elles aient désigné ou non un Délégué à Protection des Données (DPD), doivent mettre en œuvre des contrôles concernant les répartitions de responsabilités entre les acteurs impliqués par le traitement et l’application de règles opposables, l’effectivité des droits des personnes concernées, la sécurité des traitements et la mise à disposition des éléments de preuve pour démontrer la conformité des traitements de données à caractère personnel.

Stack Buffer Overflow

Magazine
Marque
MISC
HS n°
Numéro
21
|
Mois de parution
juillet 2020
|
Domaines
Résumé

Cet article retrace un historique des stack buffer overflow tels qu'ils étaient exploités au début des années 2000 puis passe en détail les protections logicielles et matérielles qui ont été mises en œuvre pour les faire disparaître, ainsi que les mesures créées par les attaquants pour les contourner.

L’empoisonnement de cache DNS : toujours d’actualité ?

Magazine
Marque
MISC
HS n°
Numéro
21
|
Mois de parution
juillet 2020
|
Domaines
Résumé

Le Domain Name System (DNS) est l’un des protocoles réseau centraux au bon fonctionnement de l’Internet moderne. Ce protocole permet la résolution de noms « symboliques » – les noms de domaine – en des ressources, notamment des adresses IP. Malgré son omniprésence dans notre quotidien, sa sécurisation a été incrémentale et laborieuse. Cet article traite d’une attaque aussi vieille que le DNS, l’empoisonnement de cache, contre laquelle les dernières avancées, comme DNS-over-HTTPS, pourraient permettre de se protéger enfin complètement. Ou le pourront-elles ?

Zero Trust : anti-SOC, tu perds ton sang froid ?

Magazine
Marque
MISC
Numéro
110
|
Mois de parution
juillet 2020
|
Domaines
Résumé

Les security operation centers, au sens large, sont aujourd’hui au cœur des systèmes d’information des entreprises. En revanche, beaucoup adoptent encore et toujours une approche traditionnelle de la sécurité du SI. Comment le paradigme Zero Trust va-t-il impacter nos supervisions ? Repensons un peu à toutes ces années de service pour voir ce que Zero Trust peut apporter au SOC, et réciproquement comment ces derniers peuvent accompagner la transition.

Anti-leurrage et anti-brouillage de GPS par réseau d’antennes

Magazine
Marque
MISC
Numéro
110
|
Mois de parution
juillet 2020
|
Domaines
Résumé

La localisation, la navigation et le transfert de temps (PNT) par constellation de satellites, et notamment le Système de Positionnement Global (GPS), sont devenus omniprésents dans notre quotidien. Le brouillage – volontaire ou non – et le leurrage de ces signaux très faibles sont désormais accessibles à tout le monde, mais les subir n’est pas une fatalité : nous allons aborder les méthodes pour se protéger de tels désagréments afin de retrouver les services d’origine en annulant ces interférants par une approche multi-antennes.

Découverte et scan de réseaux

Magazine
Marque
MISC
HS n°
Numéro
21
|
Mois de parution
juillet 2020
|
Domaines
Résumé

Ce réseau est trop vaste à surveiller, l’administrateur ne s’y retrouvait plus entre toutes ces plages d’adresses, ces serveurs, imprimantes et autres webcams éparpillés dans tous les coins des locaux ; sans parler du Cloud situé on ne sait où. Et s’il avait quelques outils et méthodes sous la main pour avoir une cartographie à peu près complète de son réseau et des différents services disponibles ? Essayons de l’aider dans sa tâche en complétant sa panoplie.

Par le même auteur

Richelieu : solution du challenge de la DGSE

Magazine
Marque
MISC
Numéro
106
|
Mois de parution
novembre 2019
|
Domaines
Résumé

En mai 2019, la DGSE (Direction Générale de la Sécurité Extérieure) a organisé pour la première fois un challenge de sécurité informatique ouvert au public, qu’elle a baptisé Challenge Richelieu. Je vous invite à écouter la bande originale du Bureau des Légendes en fond sonore. Imprégnez-vous de cette atmosphère pleine de tension où les secrets sont rois, puis regardons ensemble ce que nous réservait ce challenge.

Le challenge du logo ANSSI

Magazine
Marque
MISC
Numéro
73
|
Mois de parution
mai 2014
|
Domaines
Résumé
Le 3 février 2012, l'agence nationale de la sécurité des systèmes d'information (ANSSI) a publié son nouveau logo et a eu la bonne idée d'y cacher un challenge de sécurité informatique. Des morceaux de solutions furent rapidement trouvés et rendus publics, mais ce challenge a su se faire désirer puisque deux ans plus tard, j'ai finalement été le premier à en voir le bout. Dans cet article, je vous présente ma solution, le raisonnement adopté, les galères rencontrées ainsi qu'un petit bonus, le tout sur un ton assez peu formel.

Les mécanismes d'amplification

Magazine
Marque
MISC
Numéro
72
|
Mois de parution
mars 2014
|
Domaines
Résumé
Dans le petit monde des attaques par déni de service, les attaques par amplification sont particulièrement redoutées. Elles sont efficaces quelle que soit la cible, sont très difficiles à contrer et permettent à des attaquants dont les moyens sont modestes de mettre à mal les plus grands acteurs d'Internet. Le concept d'amplification est ancien, mais de nouveaux vecteurs sont régulièrement découverts. Cet article se propose d'en expliquer le fonctionnement, d'analyser les exemples les plus populaires et de présenter certaines contre-mesures.

Canyoufindit.co.uk : le nouveau challenge du GCHQ

Magazine
Marque
MISC
Numéro
71
|
Mois de parution
janvier 2014
|
Domaines
Résumé
Fin 2011, le GCHQ (Government Communications Headquarters, le service de renseignements du gouvernement britannique) avait su faire parler de lui en créant un challenge de sécurité informatique original intitulé Can You Crack It. Ce dernier a fait l'objet d'un article dans MISC n°60 [1]. Fort du succès rencontré par cette initiative, le GCHQ a souhaité renouveler l'expérience en septembre 2013 en proposant cette fois un challenge nommé Can You Find It. Pour cette seconde édition, les objectifs de l'agence gouvernementale restent inchangés : recruter des personnes de talent et faire parler d'eux positivement auprès d'un public ciblé. Cet article décortique ce nouvel épisode et présente le raisonnement adopté pour résoudre le challenge.

6 bonnes façons de rendre votre programme vulnérable

Magazine
Marque
MISC
Numéro
65
|
Mois de parution
janvier 2013
|
Domaines
Résumé
Stripe, une solution de paiement en ligne, est à l'origine d'un Capture The Flag à la fois ludique et instructif. Les six niveaux de ce challenge offrent un joli tour d'horizon des grandes catégories d'erreur de programmation à ne pas commettre. Nous proposerons dans cet article une analyse de chacun de ces niveaux afin de comprendre la vulnérabilité qui y a été introduite, la façon de l'exploiter et surtout les bonnes pratiques à adopter pour éviter de reproduire ces erreurs dans vos futurs programmes.