Rasneur Vincent

Vous utilisez des algorithmes de chiffrement sûrs (AES, RSA, etc.) ? Fantastique ! Ces algorithmes chiffrent vos données grâce à des clés, qui sont générées aléatoirement la plupart du temps. Si ces clés ne contenaient plus de données aléatoires, elles deviendraient totalement prévisibles. Un attaquant en tirerait parti et pourrait déchiffrer facilement les données protégées.

L'audit de programmes en C et C++ s'automatise souvent. Des outils existent, mais ils ont des approches très différentes : de l'utilisation de grep à celle d'outils plus proches du langage analysé, la qualité des analyses (et le prix des outils) varie fortement. La possibilité d'étendre ces outils pose aussi problème. Si l'on veut une base libre, gratuite, proche du langage et extensible, pourquoi ne pas réutiliser directement un compilateur ? Le système de plugins intégré à la suite de compilateurs GCC (disposant de parseurs C, C++, mais aussi Objective C, Java, ... ainsi que de diverses représentations internes) nous permet de concevoir nos propres analyses statiques.Cet article se veut une introduction à l'architecture de GCC et au développement de petits analyseurs facilitant la vie lors d'un audit de code.

Cet article constitue une suite au dossier sur les web services du numéro précédent. Nous l'avons vu, de plus en plus d'entreprises se tournent vers la mise en œuvre de web services, aussi bien pour la fourniture de services internes que pour offrir une API publique à leurs partenaires et clients. Il devient donc indispensable de se pencher sur la sécurisation de ce qui devient chaque jour un outil un peu plus central et critique.