Gaspar Émilien (gapz)

Clémentine est chercheuse au CNRS et s'intéresse aux attaques sur la micro-architecture. Elle a accepté de répondre à nos questions et de nous éclairer sur son domaine de recherche.

Lorsque l’on apprend à programmer, une question se pose rapidement dès lors que l’on s’y met à plusieurs. Mais comment diable réussir à écrire du code ensemble, sans se marcher sur les pieds et surtout en se structurant un minimum afin d’avoir un suivi des différentes versions de ce dernier ?

Les SCA, « side-channel attacks », connues en français sous le nom d’attaques par canaux auxiliaires, correspondent à une approche offensive de la sécurité (pour du logiciel comme pour du matériel) qui exploite des informations révélées de manière involontaire par le comportement du système lui-même afin de compromettre ce dernier.

Depuis quelques années, les techniques de traçage des utilisateurs sur le Web se sont développées tant du point de vue des mécanismes utilisés pour tracer l’utilisateur que dans leur large adoption par de nombreux acteurs du Web. Cet article va s’attacher à introduire la problématique du traçage d’une manière générale et présenter quelques contre-mesures.

« Aucune règle n'existe, les exemples ne viennent qu'au secours des règles en peine d'exister. » André Breton

La recherche de vulnérabilités en passant par le fuzzing nécessite souvent une bonne préparation en amont afin de ne pas perdre un temps fou pour en définitive ne rien trouver. Cet article va présenter quelques techniques particulières à American Fuzzy Lop, célèbre pour avoir trouvé une quantité impressionnante de vulnérabilités dans des programmes tels que GNU bash, Perl, le kernel d'OpenBSD et bien d’autres.

Depuis quelques mois, il devient très difficile de passer à côté du flot de paroles confuse qu’entoure l’engouement pour ce qui que l’on nomme « blockchain » et plus particulièrement son application pour les « crypto-monnaies ». Cela au point que les nouveaux pratiquants de cette religion viennent de s’approprier le préfixe crypto, au grand dam de ceux qui la pratiquent réellement (oui, la cryptographie).

Tout d'abord, et pour reprendre les lignes du dernier édito, dans le cadre du retour aux sources de la ligne éditoriale de MISC, je vais focaliser les thématiques traitées dans les dossiers sur des aspects purement techniques. Bien entendu, certaines seront liées à de nouvelles tendances et comporteront parfois des approches générales du point de vue de la sécurité (conteneurs, blockchain). Tandis que d’autres seront déjà connues, mais avec une approche plus pointue dans les sujets traités (spoil : si tout se passe bien, le prochain dossier sera sur les attaques par canaux auxiliaires avec, au menu, de la crypto, mais aussi des attaques sur les caches – tiens donc !).

Lorsque l’on approche la question de la sécurité des technologies de conteneurs, il apparaît directement qu’une grande part de cette sécurité repose de fait sur des fonctionnalités du noyau et donc de ses bons usages, et qu’une autre part tient à la structure propre de la technologie choisie. Au travers de cette introduction seront posées quelques questions fondamentales autour de la sécurité d’une solution bien connue : Docker.