Vuillard Victor

En s’approchant au plus près de ce que ferait un attaquant, le bug bounty offre la promesse d’identifier des vulnérabilités avant qu’un acteur malveillant ne les exploite. Cet article décrit un exemple de mise en place de bug bounty, sa plus-value, mais aussi ses limites et ses contraintes. Sur la base d’un bug bounty appliqué à des drones, nous traiterons également des spécificités portant sur le domaine de l’IoT.

En informatique classique, l’utilisateur s’authentifie sur son poste et sur ses applications, ce qui rend aisé la gestion des identités et la sécurité des connexions. Dans le monde des objets, ces derniers ne sont pas souvent dotés de moyens nécessaires (écran, clavier, lecteur de carte à puce ou tout autre moyen). Cet article décrit un exemple de solution dans le monde des drones répondant à la gestion sécurisée de la connectivité et qui pourrait être transposé à de nombreux autres objets.

Depuis ses débuts en 2003, le framework Metasploit [MSF] s'est peu à peu imposé comme un outil de référence pour l'auditeur de la sécurité des systèmes d'information. La version 3.0 de Metasploit, sortie fin mars 2007, a introduit des évolutions majeures. Tout d'abord, la réécriture de l'ensemble du projet en Ruby (à la place de Perl précédemment) a été une opportunité pour améliorer la réutilisabilité des différentes briques et pour simplifier la possibilité de créer des extensions qui reposent sur la plate-forme. De plus, des fonctionnalités ont été ajoutées à certains composants, à commencer par le Meterpreter, qui sera décrit dans la suite de cet article.