MISC N°
Numéro
121

Sécurité & langages de programmation

Temporalité
Mai/Juin 2022
Image v3
Sécurité & langages de programmation
Article mis en avant

Résumé

Je dois avouer que l’exploration des langages de programmation a toujours été pour moi une intarissable source de fascination. J’ai passé des nuits, lorsque j’étais étudiant, à découvrir de nouveaux langages et mettais un point d'honneur à proposer une solution pour les travaux pratiques dans des langages improbables. Je me suis passionné pour tous ceux qui sortaient du cadre des langages impératifs plus ou moins objet que j’abordais en cours pour me perdre dans les langages fonctionnels paresseux sans effets de bord, les langages par contraintes ou les premiers langages de scripts à typage dynamique qui commençaient à se développer tels que Ruby et Python, après avoir un peu expérimenté Perl.

Dans ce numéro...


La tension sur le marché de l’emploi informatique ne cesse de se durcir depuis plusieurs années. Si le problème est multifactoriel, la cause principale reste une forte croissance des besoins en spécialistes comparativement au nombre de profils disponibles sur le marché de l’emploi. Cela commence dès le lycée avec les filières scientifiques trop boudées par les lycées puis, dans l’enseignement supérieur, avec les cursus informatiques peinant toujours à attirer les étudiants et tout particulièrement les étudiantes. Ainsi, trop peu de jeunes diplômés arrivent sur le marché de l’emploi comparativement aux besoins des entreprises qui ne cessent de croître...
En cherchant à comprendre le fonctionnement d’une application de recommandations électorales, j’ai découvert une vulnérabilité me permettant de modifier les programmes électoraux affichés à ses 2 millions d’utilisateurs.
Dans le domaine de la sécurité informatique, une vulnérabilité est définie par la norme ISO 27001 comme « une faiblesse d'un actif ou d'un contrôle qui pourrait potentiellement être exploitée par une ou plusieurs menaces ». Le système d’exploitation Microsoft Windows 10 n’échappe pas à ces vulnérabilités.
Il existe deux principales méthodes pour trier rapidement des exécutables suspects : les lancer dans une sandbox (analyse dynamique) et l'analyse... statique. Lors de la première partie, nous avons énuméré et discuté de certaines caractéristiques du format Portable Executable (PE) pour déceler des anomalies parfois utilisées par les auteurs de malwares. Nous proposons dans cette deuxième partie de détailler la structure PE, tout en continuant à étudier comment elle est utilisée par le code malveillant.
Lorsque l’on compare les langages avec une optique de sécurité informatique, il est naturel de penser à Rust et son borrow checker, ou aux nombreuses erreurs de gestion de la mémoire en C. Il existe cependant de nombreux autres axes permettant de différencier les langages !
Machines et développeurs ont parfois du mal à communiquer. D’un côté l’esprit humain, avec sa volonté d’abstraire et de penser fonctionnel. De l’autre côté, la machine et sa froide rigueur électronique. Entre les deux, il y a un pont : le compilateur. Mais comment prend-il en compte les aspects sécurité ?
Le premier novembre 2021, les CVE-2021-42574 et CVE-2021-42694 étaient rendues publiques. Ces deux CVE rendent comptent des limitations de l’utilisation de caractères Unicode dans les identifiants, commentaires et/ou chaînes de caractères littérales de codes sources. Elles sont intéressantes par deux aspects : elles sont relativement agnostiques au langage de programmation sous-jacent, et elles utilisent comme cheval de Troie le rendu fait par certains outils, notamment les forges logicielles en ligne, de certains caractères Unicode.
La cybercriminalité explosant, disposer d’outils d’entraînement pour les cybercombattants est devenu primordial. C’est la mission d’un Cyber Range. Vigrid est une extension open source gratuite transformant le fameux logiciel de virtualisation GNS3 en un tel outil, industrialisé et aux fonctions avancées.
Les bootkits : discrétion, persistance et privilèges maximaux. Dans cet article, nous concevons un bootkit visant les firmwares UEFI et nous montrons comment l’utiliser pour devenir super-utilisateur d’une machine.
L'usage d'une intelligence de la menace destinée à la cybersécurité se développe au sein des blueteams. Il est nécessaire de définir les bonnes pratiques liées à son utilisation. Qu'est-ce que la Cyber Threat Intelligence(CTI) ? Comment gérer ses données et enfin comment les exploiter ? Cet article se concentre sur les besoins des équipes de cybersécurité en matière de CTI.

Magazines précédents

Les derniers articles Premiums

Les derniers articles Premium

De la scytale au bit quantique : l’avenir de la cryptographie

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Imaginez un monde où nos données seraient aussi insaisissables que le célèbre chat de Schrödinger : à la fois sécurisées et non sécurisées jusqu'à ce qu'un cryptographe quantique décide d’y jeter un œil. Cet article nous emmène dans les méandres de la cryptographie quantique, où la physique quantique n'est pas seulement une affaire de laboratoires, mais la clé d'un futur numérique très sécurisé. Entre principes quantiques mystérieux, défis techniques, et applications pratiques, nous allons découvrir comment cette technologie s'apprête à encoder nos données dans une dimension où même les meilleurs cryptographes n’y pourraient rien faire.

Les nouvelles menaces liées à l’intelligence artificielle

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Sommes-nous proches de la singularité technologique ? Peu probable. Même si l’intelligence artificielle a fait un bond ces dernières années (elle est étudiée depuis des dizaines d’années), nous sommes loin d’en perdre le contrôle. Et pourtant, une partie de l’utilisation de l’intelligence artificielle échappe aux analystes. Eh oui ! Comme tout système, elle est utilisée par des acteurs malveillants essayant d’en tirer profit pécuniairement. Cet article met en exergue quelques-unes des applications de l’intelligence artificielle par des acteurs malveillants et décrit succinctement comment parer à leurs attaques.

Migration d’une collection Ansible à l’aide de fqcn_migration

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Distribuer du contenu Ansible réutilisable (rôle, playbooks) par l’intermédiaire d’une collection est devenu le standard dans l’écosystème de l’outil d’automatisation. Pour éviter tout conflit de noms, ces collections sont caractérisées par un nom unique, formé d’une espace de nom, qui peut-être employé par plusieurs collections (tel qu'ansible ou community) et d’un nom plus spécifique à la fonction de la collection en elle-même. Cependant, il arrive parfois qu’il faille migrer une collection d’un espace de noms à un autre, par exemple une collection personnelle ou communautaire qui passe à un espace de noms plus connus ou certifiés. De même, le nom même de la collection peut être amené à changer, si elle dépasse son périmètre d’origine ou que le produit qu’elle concerne est lui-même renommé.

Body