MISC N°
Numéro
50

La sécurité des jeux

Temporalité
Juillet/Août 2010
Article mis en avant

Résumé

Ce proverbe [1] se prête bien à l'introduction d'un dossier qui se devait d'être traité dans un magazine tel que MISC. En effet, une population de lecteurs telle que celle qui régulièrement parcourt ces pages avec respect et intelligence [2] a nécessairement passé des heures sur diverses générations de plates-formes à essayer de résoudre des énigmes, sauver le monde, tuer des tas de trucs qui bougent ou bâtir des empires.

Dans ce numéro...


Le 22 mars 2010, la fondation Mozilla a publié un bulletin de sécurité indiquant la correction d'une nouvelle faille de sécurité [1]. Reportée par Evgeny Legerov, elle affecte la version 3.6 de Firefox et a été corrigée dans la version 3.6.2. D'après ce bulletin, le décodeur WOFF contiendrait un integer overflow dans la fonction de décompression des fontes résultant sur un heap overflow dans certains cas : l'utilisation d'une fonte malformée pourrait provoquer le crash du navigateur et entraîner l'exécution d'un code arbitraire. La suite de cet article détaille l'origine de la vulnérabilité et les techniques utilisées pour l'exploiter.
Depuis 2003, le Bluetooth est régulièrement présenté comme un vecteur de propagation virale sur terminaux mobiles. Technologie par excellence pour les communications sans fil à courte distance, son omniprésence et sa facilité d’utilisation en font un vecteur de choix pour la propagation de malwares. Il est cependant encore difficile aujourd’hui d’estimer le danger réel présenté par cette technologie.Dans cet article, nous nous intéresserons aux différents paramètres entrant en compte dans la propagation d’un ver Bluetooth et nous questionnerons sur la viabilité de ce vecteur.
Obtenir les privilèges SYS dans une base de données Oracle est souvent facile durant un test d'intrusion interne. Il est cependant bien tentant de pouvoir exécuter des commandes sur l'hôte hébergeant cette base. Pour ce faire, on peut utiliser des exploits, avec tous les inconvénients que cela comporte (disponibilité du service, fiabilité d'un exploit souvent ancien, ...), ou exploiter des fonctionnalités documentées, ce que nous allons faire.
Cet article, à but historique, présente des méthodes de protection avancées rencontrées sur des jeux sortis il y a plus de 20 ans sur ATARI. C'était alors la grande époque de la disquette. Il est dans l'esprit commun que les protections se sont fortement complexifiées au fil du temps. Nous verrons pourtant que les développeurs de ces jeux, en matière de protection de code, n'avaient pourtant rien à envier aux développeurs actuels. Il montre également que le reverse engineering était déjà bien maîtrisé, à une époque où de nombreux lecteurs de MISC tétaient encore leur biberon.
La lutte contre le piratage a été une constante chez les éditeurs de jeux vidéo. La finalité est restée la même : une personne qui n'a pas acheté ou loué un jeu ne doit pas pouvoir l'utiliser. Les méthodes, en revanche, ont évolué, principalement en raison des supports utilisés et des techniques utilisées par les attaquants.Cet article traite des mécanismes de protection rencontrés depuis l'apparition des jeux sur CD-Rom. Celui-ci, par sa grande quantité de stockage et sa durée de vie plus importante, a rendu obsolète la disquette en quelques années. Il montre ensuite l'évolution des protections, avec l'arrivées des DVD et, dernièrement, des mécanismes d'activation en ligne.
Depuis quelques années, les jeux en ligne se sont démocratisés. Poker, casino, paris en ligne ont attiré des joueurs de tout horizon, attirés par l'appât du gain, sagement installés devant leurs ordinateurs. Parmi cette masse de joueurs 2.0, nombreux sont ceux qui veulent défier les statistiques en s'assurant un avantage conséquent qui pourrait leur permettre de gagner gros.Le marché des jeux en ligne est estimé entre 4 et 5 milliards d’euros en 2013 au niveau mondial.
Il est probablement inutile de présenter World of Warcraft. Sans pour autant être addict, chacun a entendu parler de ce jeu en ligne au plus de 11 millions de joueurs. Une telle popularité ne pouvait qu'attirer notre attention... au même titre que celle des « chinese farmers », arnaqueurs et profiteurs en tous genres dont l'objectif est de tirer un profit financier du jeu. Basses préoccupations bien loin de celles de héros prêts à se sacrifier pour débarrasser le monde d'Azeroth de l'infâme Roi Liche (entre autres).
Comme nous l’avions vu dans l’article consacré la norme ISO 27001, l’identification et l’analyse des risques en sécurité de l’information sont deux étapes incontournables dans la mise en œuvre d’un système de management ISO 27001. Basée sur un processus itératif et non linéaire, la norme ISO 27005, publiée le 4 juin 2008, vient en appui aux concepts généraux énoncés dans la norme ISO 27001. Inspirée de méthodes existantes et plus particulièrement de la méthode EBIOS V2, la norme ISO 27005 contient les lignes directrices relatives au processus de gestion des risques en sécurité de l’information.
Dans la grande guerre dite de périmétrisation, les défenseurs et les attaquants livrent un combat sans fin. Quand un défenseur autorise l'établissement d'une connexion pour offrir un service à ses utilisateurs, un attaquant trouve un moyen de créer une application autour de ce service afin d'offrir une connectivité de type tunnel et ainsi contourner toutes les mesures de filtrage mises en place. Dans cet article, nous décrivons l'établissement d'un tunnel autour du protocole Domain Name System (DNS).
Les clés USB méritent qu'on y apporte un peu plus d'attention. Au-delà des petits morceaux de plastique qui nous permettent de transporter, copier, échanger des Go de fichiers, il y a aussi un support informatique qui amène ses faiblesses, principalement dues à sa banalisation. En les manipulant tous les jours sans aucune précaution, nous prenons des risques sans le savoir ou en pensant simplement que ça n'arrive qu'au cinéma !
La conception de systèmes de sécurité s'appuie sur différents concepts complémentaires, nommés « modèles de sécurité ». Les deux modèles les plus courants et les plus simples à appréhender sont les modèles positifs et négatifs.
Dans un précédent numéro du magazine, un aperçu du protocole réseau Netflow [1] et ce qu'il permettait de faire a été indiqué. Aujourd'hui, dans un deuxième article, nous allons nous attacher à présenter une suite de logiciels servant à visualiser des données issues de ce type de flux. Nous présenterons tout d'abord la partie installation, puis la phase utilisation et mise en œuvre.

Magazines précédents

Les derniers articles Premiums

Les derniers articles Premium

La place de l’Intelligence Artificielle dans les entreprises

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

L’intelligence artificielle est en train de redéfinir le paysage professionnel. De l’automatisation des tâches répétitives à la cybersécurité, en passant par l’analyse des données, l’IA s’immisce dans tous les aspects de l’entreprise moderne. Toutefois, cette révolution technologique soulève des questions éthiques et sociétales, notamment sur l’avenir des emplois. Cet article se penche sur l’évolution de l’IA, ses applications variées, et les enjeux qu’elle engendre dans le monde du travail.

Petit guide d’outils open source pour le télétravail

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Ah le Covid ! Si en cette période de nombreux cas resurgissent, ce n’est rien comparé aux vagues que nous avons connues en 2020 et 2021. Ce fléau a contraint une large partie de la population à faire ce que tout le monde connaît sous le nom de télétravail. Nous avons dû changer nos habitudes et avons dû apprendre à utiliser de nombreux outils collaboratifs, de visioconférence, etc., dont tout le monde n’était pas habitué. Dans cet article, nous passons en revue quelques outils open source utiles pour le travail à la maison. En effet, pour les adeptes du costume en haut et du pyjama en bas, la communauté open source s’est démenée pour proposer des alternatives aux outils propriétaires et payants.

Sécurisez vos applications web : comment Symfony vous protège des menaces courantes

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Les frameworks tels que Symfony ont bouleversé le développement web en apportant une structure solide et des outils performants. Malgré ces qualités, nous pouvons découvrir d’innombrables vulnérabilités. Cet article met le doigt sur les failles de sécurité les plus fréquentes qui affectent même les environnements les plus robustes. De l’injection de requêtes à distance à l’exécution de scripts malveillants, découvrez comment ces failles peuvent mettre en péril vos applications et, surtout, comment vous en prémunir.

Bash des temps modernes

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Les scripts Shell, et Bash spécifiquement, demeurent un standard, de facto, de notre industrie. Ils forment un composant primordial de toute distribution Linux, mais c’est aussi un outil de prédilection pour implémenter de nombreuses tâches d’automatisation, en particulier dans le « Cloud », par eux-mêmes ou conjointement à des solutions telles que Ansible. Pour toutes ces raisons et bien d’autres encore, savoir les concevoir de manière robuste et idempotente est crucial.

Body