Android & TEE

 

Saviez-vous que votre Android n’est pas le seul OS dans votre smartphone ? À côté et bien caché s’exécute un environnement dédié à la sécurité plus communément appelé TEE. Partons à l’aventure et découvrons ce petit monde qui discrètement vous protège. Lire la suite

OpenID Connect : présentation du protocole et étude de l’attaque Broken End-User Authentication

 

L’emploi quotidien de nombreux services sur le Web rend l’utilisation de méthodes d’authentification unifiées très utile. La fédération d’identité avec OpenID Connect est une manière de mettre en œuvre cette authentification unique. Cependant, ce jeu à trois acteurs (utilisateur, fournisseur d’identité, fournisseur de service) ne fonctionne que si tout le monde a la même vision de la situation ! Lire la suite

Émulation du bootloader de NotPetya avec Miasm

 

NotPetya est un célèbre malware issu de la famille Petya, apparu en juin 2017. La partie s’exécutant depuis le MBR a souvent été étudiée en statique ou en dynamique grâce au débogueur Bochs pour IDA. Une autre approche d’analyse est-elle possible ? Nous proposons ici d’émuler pas à pas le bootloader de NotPetya en utilisant Miasm. Lire la suite

SMTP : la « killer app » de DNSSEC

 

Huit ans après le déploiement de DNSSEC par la racine du DNS, cette technologie peine encore à trouver son public et à prouver son utilité. Cet article démontre que la sécurité des échanges de courriers électroniques avec SMTP contre des attaquants actifs ne peut être atteinte en l’absence de DNSSEC, compte tenu des standards et implémentations actuels. Lire la suite

Meltdown et attaques sur KASLR : les attaques par canal auxiliaire passent à la vitesse supérieure

 

Les attaques par canal auxiliaire sur la micro-architecture des processeurs font l’objet de recherches depuis une quinzaine d’années. Auparavant peu connues du grand public, et concernant essentiellement les implémentations d’algorithmes cryptographiques, ces attaques ont pris le devant de la scène en ce début d’année 2018 avec les attaques Meltdown et Spectre. Lire la suite

Vérifier un code PIN

 

Entrer son code PIN pour utiliser sa carte bancaire ou déverrouiller son téléphone portable est devenu un geste quotidien. L’objet doit vérifier que le code proposé est correct. Comment implémenter cette vérification ? Cela semble être une simple comparaison de deux tableaux de données. Détrompez-vous ! Les attaques physiques vont nous mener la vie dure. Lire la suite