Nayrolles Sylvain

Brad Spengler, le leader du projet grsecurity, exprimait, lors de son intervention au SSTIC 2016, son agacement à lier la sécurité d'une application à son implémentation. Pour lui, la sécurisation d'une application ne doit pas se faire via la recherche de bugs dans cette dernière, mais doit être assurée par la plateforme sur laquelle elle s'exécute. L'ASLR fait partie de ces évolutions proposées par les systèmes d'exploitation, dans le but de complexifier l'exploitation de failles applicatives.

Les techniques d'exploitation de failles applicatives ont énormément évolué avec l'avènement de moyens de protection toujours plus sophistiqués. Le Return Oriented Programming ou ROP ne permet pas d'injecter du code, mais bien d'exploiter l'existant pour détourner le comportement nominal d'un logiciel via une classe de failles bien particulière.

Ah, que de bons souvenirs avec l'assembleur ! Je ne sais pas pour vous, mais moi je n'y ai touché qu'une fois, en licence (de nos jours on dit L3), pour parvenir péniblement à réaliser une division. Des années plus tard, je me dis que j'ai peut-être raté quelque chose et qu'à défaut de devenir un pro de l'assembleur, il pourrait être intéressant d'en comprendre quelques rouages.

De nombreux frameworks web clients permettent de communiquer via une API REST. Nous allons voir comment configurer une base de données relationnelle telle que MySQL pour en faire un backend RESTFul.

La WebCryptoAPI est une spécification W3C qui a pour principal objectif de fournir, aux programmeurs d'applications Web côté client, les principaux outils cryptographiques, et ceci à des fins de sécurité et de confidentialité.

La technologie des conteneurs, comme LXC ou Docker, repose sur des fonctionnalités du noyau permettant de réaliser le cloisonnement des ressources d'un processus.

Le débogage noyau a longtemps été rendu difficile par le manque d'outils. Aujourd'hui, cette tâche est rendue facile par l'intégration d'outils dans la mainstream du noyau, ainsi que par des outils de virtualisation.

Historiquement, la sécurité des données au sein des applications web était dévolue aux outils ou aux protocoles utilisés. Elle ne fait que très rarement partie du processus de développement. Reposant essentiellement sur une architecture client-serveur, où ce dernier est le garant de l'intégrité, et optionnellement de la sécurité des données, nous verrons comment les derniers standards du Web permettent aux développeurs de déporter le moteur cryptographique du côté du client et donc d'offrir une réelle confidentialité aux utilisateurs.

Il existe différents moyens de développer des bibliothèques performantes pour Node.js ; soit par la réalisation d'une extension native au travers d'une API C/C++, soit via le projet Emscripten utilisant asm.js, un sous-ensemble de JavaScript.