MISC N°
Numéro
127

Bug Bounty - Quand les hackers deviennent chasseurs de primes !

Temporalité
Mai/Juin 2023
Image v3
Bug Bounty - Quand les hackers deviennent chasseurs de primes !
Article mis en avant

Introduction au dossier : Bug Bounty

Résumé

Lorsqu'une société cherche à évaluer le niveau de sécurité de ses systèmes d'information, plusieurs solutions s'offrent à elle. Traditionnellement, elle pouvait faire appel à des sociétés de conseil pour leur commanditer des audits ou des tests d'intrusion tout en maîtrisant les coûts associés. L'une des limites de cette approche est la temporalité de l'audit et la nécessité de les renouveler fréquemment pour tenir compte des changements sur ses systèmes.

Lire la suite

Dans ce numéro...


Édito
Par Foll Cédric
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Foll Cédric
Vincent Strubel, le nouveau directeur général de l'ANSSI, a récemment souligné lors du FIC l'importance d'un Cloud de confiance et de la qualification SecNumCloud pour faire émerger des acteurs nationaux et garantir la sécurité du patrimoine informationnel des entreprises et des administrations françaises.
> Lire l'extrait
HTTP : les aléas et faiblesses liés aux en-têtes saut par saut
Par Duchemin Stéphane
Pentest Exploit
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Duchemin Stéphane
Souvent méconnus ou oubliés, les en-têtes « saut par saut » font bel et bien partie du socle définissant le protocole HTTP/1.1. Ces derniers ont pu notamment retrouver une certaine notoriété depuis la mise en lumière de la CVE-2022-1388, exploitable notamment via ce type d'en-tête. Cette vulnérabilité critique (CVSS v3 9.8 [1]) parue en mai 2022 a affecté une solution largement utilisée par les entreprises : F5 BIG-IP. Cet article détaille le fonctionnement de ce type d'en-tête ainsi que les enjeux sécurité liés, notamment à travers l'étude de la vulnérabilité CVE-2022-1388.
> Lire l'extrait
Are you (JSON Web) Token to me ?
Par Senet Régis, Reygnaud Arnaud
Pentest
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Senet Régis, Reygnaud Arnaud
Alors que le danger de l'exposition des interfaces d'administration n'est (presque) plus à démontrer et que les défauts de contrôle d'accès raflent la première place du Top 10 de l'OWASP aux injections, l'analyse en profondeur ainsi que la compréhension des JWT (JSON Web Tokens) sont devenues un impératif.
> Lire l'extrait
Branle-bas de combat dans Kubernetes
Par Bette Jean-François
Forensic
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Bette Jean-François
Avec l’usage de plus en plus massif des conteneurs et de Kubernetes pour l’hébergement des applications métiers, les infrastructures basées sur Kubernetes sont de plus en plus des cibles de choix pour les attaquants. Il convient d’apprendre à détecter et investiguer ces attaques en tenant compte des spécificités de ces plateformes
> Lire l'extrait
Les plateformes de bug bounty
Par Samhi Jordan
Sécurité système
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Samhi Jordan
Les plateformes de bug bounty sont des espaces permettant de connecter des chercheurs en sécurité et des organisations dans le but de signaler des vulnérabilités dans les systèmes de ces organisations, en échange d’une récompense pour les chercheurs. Ces plateformes gagnent en popularité pour les entreprises, car elles fournissent de nombreux avantages, notamment pour la gestion de leur politique de sécurité et pour la sécurité de leurs systèmes. En effet, elles permettent de maximiser les chances de trouver des problèmes de sécurité en s'appuyant sur les compétences externes des chercheurs et de minimiser le risque que des acteurs malveillants exploitent ces vulnérabilités. Dans cet article, nous allons, entre autres, voir les avantages qu’offrent les plateformes de bug bounty ainsi que les différents types de plateformes disponibles sur le marché.
> Lire l'extrait
Le bug bounty vu côté client
Par Vuillard Victor
Sécurité système
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Vuillard Victor
En s’approchant au plus près de ce que ferait un attaquant, le bug bounty offre la promesse d’identifier des vulnérabilités avant qu’un acteur malveillant ne les exploite. Cet article décrit un exemple de mise en place de bug bounty, sa plus-value, mais aussi ses limites et ses contraintes. Sur la base d’un bug bounty appliqué à des drones, nous traiterons également des spécificités portant sur le domaine de l’IoT.
> Lire l'extrait
Bug Bounty : le retour d’un chasseur
Par Le Gall Daniel
Sécurité système Exploit
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Le Gall Daniel
Le bug bounty est un marché en plein essor qui attire de plus en plus de professionnels de la cybersécurité. Dans cet article, nous allons rencontrer un « chasseur » expérimenté qui nous parlera des avantages de cette activité, ainsi que des compétences nécessaires pour réussir dans le domaine.
> Lire l'extrait
Coupe du monde 2022 : Ehteraz, entre précaution et surveillance
Par Herbette Matthieu
Sécurité système Cyber Intelligence
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Herbette Matthieu
Organisée en pleine pandémie de Covid-19, la Coupe du Monde de football au Qatar a réuni des millions de supporters venus des quatre coins du globe. Une seule solution : Ehteraz, une application pour alerter et protéger la population du risque sanitaire. Mais qu’en est-il vraiment ?
> Lire l'extrait
-ftrivial-auto-var-init : le prix du progrès
Par Guelton Serge
Sécurité du code
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Guelton Serge
En C et en C++, les variables déclarées sur la pile sans initialisation n’ont pas de valeur par défaut. Accéder à leur valeur est à la fois une source de comportement indéfini et une source de fuite de données reconnue. De telles situations sont complexes à détecter à la compilation et coûteuses à détecter à l’exécution. Cet article propose d’explorer une alternative disponible dans les compilateurs clang et gcc : -ftrivial-auto-var-init=<value>.
> Lire l'extrait
Des pare-feux pour le HDMI
Par Ricordel Pierre-Michel, Lopes Esteves José, Redon Kévin
Sécurité réseau
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Ricordel Pierre-Michel, Lopes Esteves José, Redon Kévin
Le standard HDMI renferme un ensemble de fonctionnalités qui dépasse le simple transfert de signal vidéo. Ces fonctionnalités sous souvent inutilisées, mais présentent une surface d'attaque non négligeable. Cet article détaille la nature de ces fonctionnalités, puis propose des outils de filtrage pour protéger les périphériques HDMI.
> Lire l'extrait

Magazines précédents

USB - Votre pire ennemi ? Un vecteur d’attaque souvent négligé…
MISC N°126
USB - Votre pire ennemi ? Un vecteur d’attaque souvent négligé…
Web 2023 - Les nouvelles surfaces d’attaques !
MISC N°125
Web 2023 - Les nouvelles surfaces d’attaques !
Objets connectés : Quels risques pour votre système d’information ?
MISC N°124
Objets connectés : Quels risques pour votre système d’information ?
Patch management - Améliorer les processus de mise à jour de sécurité
MISC N°123
Patch management - Améliorer les processus de mise à jour de sécurité
Adopter le DevSecOps - Intégrer la sécurité dans votre production informatique
MISC N°122
Adopter le DevSecOps - Intégrer la sécurité dans votre production informatique
Sécurité & langages de programmation
MISC N°121
Sécurité & langages de programmation

Les derniers articles Premiums

Les derniers articles Premium

Utilisation avancée de SQLPage
Déployer un cluster AMQ Streams avec Ansible
Bénéficiez de statistiques de fréquentations web légères et respectueuses avec Plausible Analytics

Bénéficiez de statistiques de fréquentations web légères et respectueuses avec Plausible Analytics

Magazine
Marque
Contenu Premium
Auteurs
Par
Mourey Stéphane
Spécialité(s)
Web
Résumé

Pour être visible sur le Web, un site est indispensable, cela va de soi. Mais il est impossible d’en évaluer le succès, ni celui de ses améliorations, sans établir de statistiques de fréquentation : combien de visiteurs ? Combien de pages consultées ? Quel temps passé ? Comment savoir si le nouveau design plaît réellement ? Autant de questions auxquelles Plausible se propose de répondre.

Ajouter à une liste de lecture
Quarkus : applications Java pour conteneurs

Quarkus : applications Java pour conteneurs

Magazine
Marque
Contenu Premium
Auteurs
Par
Pelisse Romain
Spécialité(s)
Système
Code
Résumé

Initié par Red Hat, il y a quelques années le projet Quarkus a pris son envol et en est désormais à sa troisième version majeure. Il propose un cadre d’exécution pour une application de Java radicalement différente, où son exécution ultra optimisée en fait un parfait candidat pour le déploiement sur des conteneurs tels que ceux de Docker ou Podman. Quarkus va même encore plus loin, en permettant de transformer l’application Java en un exécutable natif ! Voici une rapide introduction, par la pratique, à cet incroyable framework, qui nous offrira l’opportunité d’illustrer également sa facilité de prise en main.

Ajouter à une liste de lecture
Voir les 40 articles premium
Body