L’édito de MISC HS n°21 !

La complexité est l’ennemi de…

… de celui qui développe une preuve de concept ! S’il y a un dénominateur commun à quelques-unes des vulnérabilités importantes de ce début d’année 2020, c’est la simplicité de leur exploitation. Pour au moins deux d’entre elles en tout cas : la CVE-2019-19781, une exécution de code arbitraire qui affecte une solution largement déployée en entreprise (NetScaler ADC/Gateway), élégamment nommée « shitrix » par la communauté. La preuve de concept se résume à quelques lignes de bash/curl, deux requêtes suffisent, et à l’heure où ces lignes sont écrites un exploit est déjà arrivé dans metasploit. On peut imaginer que les attaquants sont en train d’adapter leurs outils pour faire de la post-exploitation au sein d’un système FreeBSD (l’OS utilisé derrière NetScaler). Une seconde vulnérabilité critique, dont le POC est également simple, affecte l’API crypto de Windows. Attardons-nous quelques lignes sur cette dernière. Lire la suite

L’édito de MISC n°110 !

La période de pandémie a été l’occasion pour certains de se découvrir des compétences inattendues en infectiologie et virologie, ce fut également un beau terrain de jeux pour les aspirants ingénieurs en infrastructures numériques. Nous en avons croisé beaucoup s’étranglant devant l’incapacité de l’État ou des entreprises à produire des applications tenant la charge quand il était possible, selon eux, de le faire pour une poignée d’euros avec un LAMP chez OVH. Lire la suite

L’édito de MISC n°109 !

L’épisode du confinement a été un véritable défi technique pour toutes les équipes informatiques. Il nous a fallu en effet réussir à mettre en œuvre dans l’urgence les outils pour assurer la continuité du fonctionnement de nos organisations avec des briques applicatives ne s’y prêtant pas forcément. Si dans beaucoup de structures, des prémices de télétravail avaient été déjà mises en place, cela ne concernait en général qu’une partie des salariés et sur une proportion souvent réduite de leur temps de travail. Le challenge a donc été de faire en sorte que les utilisateurs sans ordinateur portable, au moment où les terminaux mobiles sont devenus une ressource rare, puissent continuer à travailler sans dégrader dramatiquement la sécurité. Lire la suite

L’édito de MISC n°108 !

Si pour le domaine de la sécurité, la décennie 2010 a été marquée par la prise de conscience par le grand public de la surveillance de masse au niveau étatique, le début de la nouvelle décennie semble être celle du développement exponentiel des capacités offensives aux mains d’acteurs étatiques, privés, voire mafieux. Si nous avions pu commencer à nous sentir globalement en sécurité depuis quelques années, bien au chaud derrière nos couches de protection périmétriques, le modèle commence à montrer de sérieuses limites. Un des enjeux sera donc de monter rapidement en maturité du côté défensif alors que les outils offensifs semblent avoir pris une longueur d’avance. Lire la suite

L’édito de MISC n°107 !

L’actualité de la SSI a été riche ces dernières semaines avec une nouvelle vague de rançongiciels ayant touché plusieurs structures et tout particulièrement le CHU de Rouen [1]. Cette attaque a été très médiatisée du fait de l’impact particulièrement tangible et compréhensible même pour la partie de la population la plus hermétique aux enjeux du numérique. En effet, l’hôpital a dû revenir au papier pendant plusieurs heures, les patients devant être admis aux urgences ont été invités à se rendre dans un autre hôpital de la région et, dans certains cas, la distribution de médicaments a été suspendue pour éviter des erreurs de prescription à cause de l’inaccessibilité des dossiers patients. Lire la suite

L’édito de MISC n°106 !

Lorsque l’on voulait débuter la sécurité il y a une vingtaine d’années, que ce soit sous l’angle offensif ou défensif, il était bien difficile d’expérimenter ses connaissances sauf à réaliser des pentests sauvages. La possibilité de disposer anonymement de connectivité réseau dans les chaînes de fastfood était de la science-fiction et c’est le plus souvent sur les bancs des écoles ou des universités que beaucoup ont fait leurs armes. La première cible était souvent le réseau interne de son établissement (le bon temps du ypcat pour dumper à distance /etc/passwd sur les architectures d’annuaires NIS…). Puis, après avoir fait le tour du propriétaire, la tentation d’aller un peu plus loin se faisait sentir. Malheureusement pour nos apprentis hackers, les responsables des infrastructures visées appréciaient généralement assez peu de devenir le terrain d’expérimentation des jeunes padawans de la SSI. Les solutions techniques de VPN anonymisant telles que Tor étant inexistantes, quelques vocations se sont trop rapidement vues refroidies suite à un rappel à la loi plus ou moins amical (ce n’est évidemment pas autobiographique…). Lire la suite

L’édito de MISC n°104 !

Après s’être régalé des premières asperges généreusement arrosées de muscat alsacien, l’esthète de la sécurité a pu savourer les débats enflammés accompagnant la sortie de Tchap, la messagerie instantanée de l’État. Passée l’agitation probablement accrue par un printemps pluvieux, il n’est pas inintéressant de revenir brièvement sur cet évènement. Lire la suite

L’édito de MISC n°103 !

Il y a quelques semaines, apparaissait sur mon fil Twitter, le constat d’échec (™ Nicolas Ruff) quant à la progression de la proportion de femmes dans la liste des speakers d’une petite conférence sécurité de province [1]. Ce symposium étant assez ancien et les programmes avec la liste des conférenciers étant toujours en ligne, force est de constater que le nombre de femmes conférencières est resté en 15 ans relativement constant. Participant moi aussi, très modestement, à l’organisation d’une conférence sécurité [2], j’apportais ma pierre à l’édifice en exposant les difficultés d’attirer des soumissions de conférencières et que même avec toutes les bonnes volontés du monde cela restait une gageure. Lire la suite

L’édito de MISC n°102 !

La Blockchain ou les habits neufs de l’empereur

Je crois qu’aucune technologie ne m’a jamais laissé aussi circonspect que la Blockchain (ou chaîne de blocs). Une technologie dont tout le monde a entendu parler alors qu’elle est conceptuellement particulièrement complexe, que tout le monde veut utiliser alors que le champ d’application est particulièrement réduit et inadapté, ou tout du moins inefficace, pour la plupart des usages. Lire la suite

L’édito de MISC HS n°19 !

Éthique et sécurité

En ce début d’année 2019, le prix d’un exploit pour un remote jailbreak d’iOS est désormais passé à la modique somme de 2 millions de dollars sur la plateforme Zerodium. Pour rappel et pour ceux qui ne suivent pas cette actualité, l’ancien prix était d’un 1.5 millions de dollars et l’on parle bien de vendre de manière exclusive un exploit 0day fonctionnel (non d’une vulnérabilité comme on peut l’entendre ici et là). Lire la suite