MISC N°
Numéro
73

Confrontez-vous aux meilleurs : mesurez vos compétences grâce aux challenges de sécurité !

Temporalité
Mai/Juin 2014
Article mis en avant

Résumé

Du jeune padawan au jedi accompli, nous avons certainement tous des souvenirs émus de nos soirées passées sur des challenges de sécurité. Qui parmi vous n’a pas perdu quelques nuits à taquiner du crackme à coup d’ollydbg et d’IDA Pro, à bruteforcer les adresses de retour sur la pile ? Ou encore à relire pour la quinzième fois le célèbre “Éviter les failles de sécurité dès le développement d'une application : les chaînes de format” [2] sans réussir à dompter totalement le %n?

Dans ce numéro...


Soyons (le)franc, les gens du marketing ne manquent pas d'imagination ! On voit apparaître régulièrement de nouveaux termes, comme les breach detection systems (BDS — ah tiens, dans BDS, il y a BD :) ). Je ne trollerai pas sur ce n-ième concept, mais plutôt sur celui élu « concept de l'année 2013 » par Gartner, à savoir le threat intelligence.
Fin décembre 2013, une faille permettant une élévation de privilèges sur les systèmes Windows a été largement exploitée par des malwares se propageant via des fichiers PDF. Ces derniers embarquaient du code visant à exploiter une faille PDF (CVE-2013-3346) permettant le contournement de la sandbox d'Adobe Reader.
L'API JMX fournie par JAVA permet aux administrateurs de monitorer et administrer l'environnement d’exécution de la machine virtuelle JAVA. Cette API peut être activée dans le contexte du serveur applicatif Tomcat. L'API JMX offre à un auditeur de nouvelles possibilités de compromission du serveur d'application. Au cours de cet article, nous présenterons différents exemples de compromission du serveur Tomcat en utilisant l'API JMX.
La visualisation analytique est une technologie qui vise à combiner des algorithmes de fouille de données et des techniques de visualisation. Cet article présente l'application de cette nouvelle technologie dans l'identification et l'investigation de campagnes d'attaques ciblées telles que APT1 et Elderwood. Nous démontrons en particulier son utilisation comme outil d'aide à l'analyse forensics « post-mortem » des tactiques, techniques, et procédures (TTP's) utilisées par les cybercriminels.
Un challenge de sécurité informatique ? Qu'est-ce que c'est ? Pour quoi faire ? Cet article est une introduction qui vous fera découvrir un univers passionnant. Le ton n'est volontairement pas complètement neutre, car outre vous informer, le but avoué est de titiller votre curiosité.
Le 3 février 2012, l'agence nationale de la sécurité des systèmes d'information (ANSSI) a publié son nouveau logo et a eu la bonne idée d'y cacher un challenge de sécurité informatique. Des morceaux de solutions furent rapidement trouvés et rendus publics, mais ce challenge a su se faire désirer puisque deux ans plus tard, j'ai finalement été le premier à en voir le bout. Dans cet article, je vous présente ma solution, le raisonnement adopté, les galères rencontrées ainsi qu'un petit bonus, le tout sur un ton assez peu formel.
Lors d'un CTF, le temps est un facteur crucial, les équipes doivent résoudre les épreuves le plus rapidement possible pour finir avant les autres, mais aussi pour remporter le plus de points possible. Ainsi, chaque grande équipe possède son propre attirail d'outils pour faciliter et accélérer la résolution de certaines épreuves. Certains de ces outils ont même été rendus publics comme pwntools le « framework » utilisé par l'équipe pwnies. Cet article propose d'étudier ce dernier.
Les conférences en sécurité informatique organisent régulièrement des challenges – ou CTF - qui consistent à réussir des épreuves de différents types : récupération de données sur des serveurs web, compréhension d'un fichier exécutable, etc. Nous avons récemment participé au CTF de la conférence Hack.lu 2013. Notre équipe de trois ingénieurs/chercheurs a terminé dans le « Hall of Fame » des équipes locales. Nous vous donnons dans cet article un aperçu de quelques épreuves types que nous avons réussies.
En environnement Active Directory, les stratégies de groupe permettent d’assurer une homogénéité dans la configuration d'un parc de machines ou dans la gestion des profils d'utilisateur. Souvent méconnues des auditeurs, les stratégies de groupe sont pourtant essentielles pour évaluer le niveau de sécurité d’un parc de machines.Chargées d’appliquer la politique de sécurité, les stratégies de groupe peuvent être une cible intéressante pour tout attaquant souhaitant assurer sa persistance sur un domaine Active Directory.Cet article se propose de décrire le moteur d’application des stratégies de groupe en détaillant les points d’attention et les outils à utiliser lors d’un audit de sécurité.
Côté offensif, l’exploitation d’une vulnérabilité peut parfois être considérée comme de l’art au même titre que certaines démonstrations mathématiques et la rubrique « exploit corner » de ce magazine en est l’illustration. La gestion des vulnérabilités côté défensif n’a malheureusement pas le même écho auprès du public. Le but de cet article est de partager ce qui a été appris suite à la mise en place d’un processus de gestion des vulnérabilités à l’échelle d’une société du CAC40, tant sur la technique que sur l’organisation.
À l'heure où nous rédigeons cet article, il ne se passe pas une semaine sans que son lot de révélations sur l'ampleur de la surveillance électronique réalisée par la NSA (et ses alliés plus ou moins proches...) ne soit dévoilé. La cryptographie est-elle encore un moyen sûr de se protéger, alors qu'elle est elle-même au centre de la controverse ? Est-ce la « fin de la cryptographie » annoncée par Adi Shamir ?

Magazines précédents

Les derniers articles Premiums

Les derniers articles Premium

Quarkus : applications Java pour conteneurs

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Initié par Red Hat, il y a quelques années le projet Quarkus a pris son envol et en est désormais à sa troisième version majeure. Il propose un cadre d’exécution pour une application de Java radicalement différente, où son exécution ultra optimisée en fait un parfait candidat pour le déploiement sur des conteneurs tels que ceux de Docker ou Podman. Quarkus va même encore plus loin, en permettant de transformer l’application Java en un exécutable natif ! Voici une rapide introduction, par la pratique, à cet incroyable framework, qui nous offrira l’opportunité d’illustrer également sa facilité de prise en main.

De la scytale au bit quantique : l’avenir de la cryptographie

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Imaginez un monde où nos données seraient aussi insaisissables que le célèbre chat de Schrödinger : à la fois sécurisées et non sécurisées jusqu'à ce qu'un cryptographe quantique décide d’y jeter un œil. Cet article nous emmène dans les méandres de la cryptographie quantique, où la physique quantique n'est pas seulement une affaire de laboratoires, mais la clé d'un futur numérique très sécurisé. Entre principes quantiques mystérieux, défis techniques, et applications pratiques, nous allons découvrir comment cette technologie s'apprête à encoder nos données dans une dimension où même les meilleurs cryptographes n’y pourraient rien faire.

Les nouvelles menaces liées à l’intelligence artificielle

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Sommes-nous proches de la singularité technologique ? Peu probable. Même si l’intelligence artificielle a fait un bond ces dernières années (elle est étudiée depuis des dizaines d’années), nous sommes loin d’en perdre le contrôle. Et pourtant, une partie de l’utilisation de l’intelligence artificielle échappe aux analystes. Eh oui ! Comme tout système, elle est utilisée par des acteurs malveillants essayant d’en tirer profit pécuniairement. Cet article met en exergue quelques-unes des applications de l’intelligence artificielle par des acteurs malveillants et décrit succinctement comment parer à leurs attaques.

Body