MISC N°
Numéro
121

Sécurité & langages de programmation

Temporalité
Mai/Juin 2022
Image v3
Sécurité & langages de programmation
Article mis en avant

Résumé

Je dois avouer que l’exploration des langages de programmation a toujours été pour moi une intarissable source de fascination. J’ai passé des nuits, lorsque j’étais étudiant, à découvrir de nouveaux langages et mettais un point d'honneur à proposer une solution pour les travaux pratiques dans des langages improbables. Je me suis passionné pour tous ceux qui sortaient du cadre des langages impératifs plus ou moins objet que j’abordais en cours pour me perdre dans les langages fonctionnels paresseux sans effets de bord, les langages par contraintes ou les premiers langages de scripts à typage dynamique qui commençaient à se développer tels que Ruby et Python, après avoir un peu expérimenté Perl.

Dans ce numéro...


La tension sur le marché de l’emploi informatique ne cesse de se durcir depuis plusieurs années. Si le problème est multifactoriel, la cause principale reste une forte croissance des besoins en spécialistes comparativement au nombre de profils disponibles sur le marché de l’emploi. Cela commence dès le lycée avec les filières scientifiques trop boudées par les lycées puis, dans l’enseignement supérieur, avec les cursus informatiques peinant toujours à attirer les étudiants et tout particulièrement les étudiantes. Ainsi, trop peu de jeunes diplômés arrivent sur le marché de l’emploi comparativement aux besoins des entreprises qui ne cessent de croître...
En cherchant à comprendre le fonctionnement d’une application de recommandations électorales, j’ai découvert une vulnérabilité me permettant de modifier les programmes électoraux affichés à ses 2 millions d’utilisateurs.
Dans le domaine de la sécurité informatique, une vulnérabilité est définie par la norme ISO 27001 comme « une faiblesse d'un actif ou d'un contrôle qui pourrait potentiellement être exploitée par une ou plusieurs menaces ». Le système d’exploitation Microsoft Windows 10 n’échappe pas à ces vulnérabilités.
Il existe deux principales méthodes pour trier rapidement des exécutables suspects : les lancer dans une sandbox (analyse dynamique) et l'analyse... statique. Lors de la première partie, nous avons énuméré et discuté de certaines caractéristiques du format Portable Executable (PE) pour déceler des anomalies parfois utilisées par les auteurs de malwares. Nous proposons dans cette deuxième partie de détailler la structure PE, tout en continuant à étudier comment elle est utilisée par le code malveillant.
Lorsque l’on compare les langages avec une optique de sécurité informatique, il est naturel de penser à Rust et son borrow checker, ou aux nombreuses erreurs de gestion de la mémoire en C. Il existe cependant de nombreux autres axes permettant de différencier les langages !
Machines et développeurs ont parfois du mal à communiquer. D’un côté l’esprit humain, avec sa volonté d’abstraire et de penser fonctionnel. De l’autre côté, la machine et sa froide rigueur électronique. Entre les deux, il y a un pont : le compilateur. Mais comment prend-il en compte les aspects sécurité ?
Le premier novembre 2021, les CVE-2021-42574 et CVE-2021-42694 étaient rendues publiques. Ces deux CVE rendent comptent des limitations de l’utilisation de caractères Unicode dans les identifiants, commentaires et/ou chaînes de caractères littérales de codes sources. Elles sont intéressantes par deux aspects : elles sont relativement agnostiques au langage de programmation sous-jacent, et elles utilisent comme cheval de Troie le rendu fait par certains outils, notamment les forges logicielles en ligne, de certains caractères Unicode.
La cybercriminalité explosant, disposer d’outils d’entraînement pour les cybercombattants est devenu primordial. C’est la mission d’un Cyber Range. Vigrid est une extension open source gratuite transformant le fameux logiciel de virtualisation GNS3 en un tel outil, industrialisé et aux fonctions avancées.
Les bootkits : discrétion, persistance et privilèges maximaux. Dans cet article, nous concevons un bootkit visant les firmwares UEFI et nous montrons comment l’utiliser pour devenir super-utilisateur d’une machine.
L'usage d'une intelligence de la menace destinée à la cybersécurité se développe au sein des blueteams. Il est nécessaire de définir les bonnes pratiques liées à son utilisation. Qu'est-ce que la Cyber Threat Intelligence(CTI) ? Comment gérer ses données et enfin comment les exploiter ? Cet article se concentre sur les besoins des équipes de cybersécurité en matière de CTI.

Magazines précédents

Les derniers articles Premiums

Les derniers articles Premium

Sécurisez vos applications web : comment Symfony vous protège des menaces courantes

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Les frameworks tels que Symfony ont bouleversé le développement web en apportant une structure solide et des outils performants. Malgré ces qualités, nous pouvons découvrir d’innombrables vulnérabilités. Cet article met le doigt sur les failles de sécurité les plus fréquentes qui affectent même les environnements les plus robustes. De l’injection de requêtes à distance à l’exécution de scripts malveillants, découvrez comment ces failles peuvent mettre en péril vos applications et, surtout, comment vous en prémunir.

Bash des temps modernes

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Les scripts Shell, et Bash spécifiquement, demeurent un standard, de facto, de notre industrie. Ils forment un composant primordial de toute distribution Linux, mais c’est aussi un outil de prédilection pour implémenter de nombreuses tâches d’automatisation, en particulier dans le « Cloud », par eux-mêmes ou conjointement à des solutions telles que Ansible. Pour toutes ces raisons et bien d’autres encore, savoir les concevoir de manière robuste et idempotente est crucial.

Présentation de Kafka Connect

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Un cluster Apache Kafka est déjà, à lui seul, une puissante infrastructure pour faire de l’event streaming… Et si nous pouvions, d’un coup de baguette magique, lui permettre de consommer des informations issues de systèmes de données plus traditionnels, tels que les bases de données ? C’est là qu’intervient Kafka Connect, un autre composant de l’écosystème du projet.

Le combo gagnant de la virtualisation : QEMU et KVM

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

C’est un fait : la virtualisation est partout ! Que ce soit pour la flexibilité des systèmes ou bien leur sécurité, l’adoption de la virtualisation augmente dans toutes les organisations depuis des années. Dans cet article, nous allons nous focaliser sur deux technologies : QEMU et KVM. En combinant les deux, il est possible de créer des environnements de virtualisation très robustes.

Body