Insomni’hack 2011 c’est fini

Et c’√©tait tr√®s bien ! Tant les six conf√©rences que le concours ūüėČ

Une superbe organisation, des √©preuves tr√®s stimulantes et bien con√ßues, une logistique sympathique. au final, plus de 100 personnes pour les conf√©rences, et pr√®s de 200 pour le concours, autant dire que c’√©tait une r√©ussite totale. Merci aux organisateurs pour ce bel √©v√®nement.

Les conférences

Les conférences traitaient de différents sujets, tous très intéressants.

S√©bastien Bombal a ouvert le bal sur un sujet assez peu technique et plut√īt orient√© RSSI, o√Ļ il expliquait comment g√©rer les aspects outsourcing du point de vue du management de la SSI, notamment en regard aux trio de normes ISO 9001, 14001 et 27001 mais √©galement ITIL, Cobit et eSCM. Peut-√™tre un peu abscons pour la plupart des personnes pr√©sentes dans l’amphi, car celles-ci n’avaient vraisemblablement pas le profil type ¬ę¬†RSSI¬†¬Ľ. En ce qui me concerne cependant j’ai appr√©ci√©, et ai pu d√©couvrir cette norme eSCM permettant de mieux g√©rer les aspects contractuels en cas d’outsourcing. Il en existe plusieurs variantes, adapt√©es selon le contexte (et √† ne pas confondre avec cecimerci Google !) : eSCM-SP correspond aux exigences contractuelles vis-√†-vis du client pour les Service Providers (eSourcing Capability Model for Client Organizations), et eSCM-CL g√®re les aspects contractuels avec les clients (eSourcing Capability Model for Service Providers).

Axelle Apvrille est une chercheuse qui travaille pour Fortinet et est sp√©cialis√©e en reverse et analyse de malware et virus sur t√©l√©phones mobiles. Et elle nous a fait peur, car ce n’√©tait pas du discours commercial mais bel et bien un avis de chercheur qui passe son temps √† d√©couvrir les nouvelles menaces. Manifestement, la tendance est clairement en train d’√©voluer vers de plus en plus de malware sp√©cialis√©s pour t√©l√©phones Android, iPhone et autres choses r√©pandues. Malwares pour l’essentiel con√ßus par des organismes cybercriminels √† vocation lucrative ; l’objectif de la plupart des attaques visant √† installer un process en t√Ęche de fond, qui acc√®de √† Internet pour exfiltrer des donn√©es personnelles, ou bien envoie des SMS surtax√©s… J’ai bien aim√© le c√īt√© technique, code assembleur √† l’appui ūüėČ A noter que l’√©quipe a √©galement con√ßu deux √©preuves de reverse-engineering sur SymbOS pour le concours du soir, sympa !

Puis nous avons fait de la crypto, enfin presque… Pascal Junod, enseignant-chercheur et cryptologue √† Yverdon a d√©montr√© quelques attaques crypto efficaces sur les syst√®mes embarqu√©s, montr√© que la quasi-totalit√© des librairies Opensource de fonctions crypto (Libssl, Openssl et j’en passe) sont toutes plus ou moins faillibles sur un certain nombres d’attaques, et que leur impl√©mentation sur PC √©tait d√©j√† assez moyen mais que sur syst√®me embarqu√© c’√©tait la catastrophe ! Tout √ßa plus ou moins par la faute de deux ou trois chercheurs de renomm√©e mondiale qui ont d√©couvert toutes ces failles et n’ont rien trouv√© de mieux que de tout breveter pour revendre les m√©thodes de protection √† qui en aurait besoin.¬† Nous avons √©galement eu le droit √† une d√©monstration en live de timing-attack sur du RSA, et une explication de la faille MS10-070 qui joue sur un probl√®me de padding des blocs de donn√©es √† chiffrer. De quoi s’inqui√©ter un peu, tout de m√™me !

Petite pause caf√©, puis retour en amphi avec Dominique Climenti qui nous a montr√© une mani√®re encore plus efficace pour r√©cup√©rer les clefs priv√©es des codes RSA : l’hypnose ! Dominique est en effet muni de talents divers, et outre sa fonction d’ing√©nieur s√©curit√© au Canton de Gen√®ve, il est √©galement magicien, danseur de tango et mentaliste ! Il a mont√© √† plusieurs reprises diff√©rents spectacles sur le sujet, et nous a (trop bri√®vement, malheureusement) expos√© les principaux principes qui permettent de faire croire des choses √† un individu tiers, lui faire r√©v√©ler des infos √† son insu, etc. Le parfait guide de l’ingenierie sociale, en quelque sorte ! C’√©tait tout simplement passionnant (√† croire que tout l’auditoire √©tait sous hypnose en l’√©coutant !), mais le timing ayant du mal √† √™tre respect√©, il a fallu passer √† la conf√©rence suivante,

Compass Security est connu pour un certain nombre d’outils s√©curit√©. Alexandre Herzog nous a montr√© une faille de l’ASP .NET permettant de faire passer comme une lettre √† la poste toutes sortes de chose tels que du cross-site scripting malgr√© la panoplie de techniques de protection d√©sormais int√©gr√©es sous IIS. Le probl√®me est en fait d√Ľ √† un champ HTML cach√©, le Viewstate, qui permet d’encoder (en base 64) des choses pouvant √™tre malicieuses sans passer par toutes les couches d’inspection de IIS. D’autres probl√®mes li√©es √† ce m√™me champ existent, tels que l’absence de chiffrement du contenu par d√©faut, ou le probl√®me MS10-070 cit√© par co√Įncidence juste auparavant par Pascal Junod dans sa pr√©sentation. J’ai √©galement appris l’existence d’un outil d’analyse web gratuit appel√© Fiddler, qui se met en mode proxy entre le navigateur et le site √† tester, et qui va tr√®s prochainement remplacer mes Paros Proxy et WebScarab que j’utilisais jusqu’√† pr√©sent ; car il m’a l’air vraiment mieux !

Enfin, vint mon tour de parler, pour la conf√©rence de cl√īture. Je me suis fait plaisir pour √©laborer celle-ci, et manifestement cela a port√© ses fruits vu l’enthousiasme dans la salle (merci √† tous !). J’ai pr√©sent√© la s√©curit√© des syst√®mes d’information vue du bout de la lorgnette d’un ancien d√©momaker, et comment cela se passait il y a (d√©j√†) 20 ans de cela, en 1991. Des d√©buts sur MO5 √† l’Atari ST en passant par le Commodore 64, j’ai pr√©sent√© diff√©rentes m√©thodes de protection de code pour finir en beaut√© et en musique avec la pr√©sentation de l’Union Demo sur Atari ST, et son copieur de disquettes int√©gr√©. La pr√©sentation est disponible sur mon blog, comme d’habitude.

Le concours

Quant √† lui, pas mal non plus. J’ai un peu particip√©, au sein de l’√©quipe (gagnante) Bles, mais je dois dire que je me suis acharn√© pour rien sur les √©preuves de st√©ganographie. Je pense que je devais √™tre trop fatigu√© apr√®s mon intervention, car j’ai but√© sur des √Ęneries, quand j’y repense. Enfin ce n’est pas trop grave, car l’√©quipe a gagn√© tout de m√™me sans moi.

Quelques photos sympathiques, pour montrer l’ambiance festive parmi les presque 200 participants (l’organisateur, SCRT, a du refuser des entr√©es, c’est pour dire !)

La page de d√©marrage du concours… Nous avions des badges RFID pour valider les √©preuves r√©ussies, amusant !

Hackers √† l’oeuvre ūüėČ

Une des épreuves de stégano à laquelle je me suis collé :

Le site web avec les épreuves et le suivi de la progression des équipes :

Le Quartier Général des organisateurs

Les scores en temps r√©el. Largement en t√™te l’√©quipe Bles, suivi par HZV.

Toujours notre √©quipe qui se fait interviewer par Couleur 3 ! La journaliste √©tait un peu surprise de d√©couvrir ce milieu √©trange ūüėČ

Des participants pr√©voyants, qui avaient carr√©ment emport√© leur borne GPRS avec eux pour b√©n√©ficier d’Internet ūüėČ

Quant √† moi, je n’ai pas pu assister √† la fin du concours ; √©tant en co-voiturage vers l’h√ītel avec l’un des chercheurs en malware de Fortinet. Mais c’est partie remise pour tr√®s bient√īt !

Ce contenu a été publié dans Conferences - Speakings, IT Security. Vous pouvez le mettre en favoris avec ce permalien.

18 r√©ponses √† Insomni’hack 2011 c’est fini

  1. Moser dit :

    Conférences intéressantes. La tienne a retenu tout mon attention, surtout concernant :
    – le bidouillage ¬ę¬†stop-start¬†¬Ľ des moteurs pour √©crire entre les pistes
    – le coup de la magn√©tisation ¬ę¬†faible¬†¬Ľ pour obtenir une valeur qui change selon le temps de mani√®re ¬ę¬†al√©atoire¬†¬Ľ euhhh disons ¬ę¬†difficilement pr√©visible¬†¬Ľ.

    et finalement :
    – le coup de cacher des instructions en m√©moire vid√©o… ou ailleurs d’ailleurs. Cela m’a fait penser aux calculs GPGU.

    J’√©tais par contre d√©j√† plus au fait des codes polymorphiques, enfin ceux que tu nommes : auto-g√©n√©r√©s et auto-modifi√©s.

    Merci donc √† toi d’√™tre venu nous pr√©senter tout ceci.

  2. Denis dit :

    Merci pour ce report, √ßa avait l’air sympa. Par contre, les liens vers eSCM ne sont pas valides.

    √Čgalement, ta pr√©sentation est tout √† fait g√©niale !

  3. Ping : Actus G√©n√©ralistes 2011 S09

  4. Très chouette, la présentation sur les démos et les protections.

    un lien indispensable pour plus d’info sur les protections de disquette: http://www.softpres.org/knowledge_base

  5. Ping : Pascal Junod » Insomni’Hack 2011: Souvenirs, Souvenirs

  6. @Moser, Denis, Ange (et les autres !), content que vous ayiez appr√©ci√© ma pr√©sentation. Je me suis demand√© √† la fin de mon intervention si tout le monde se levait vite pour aller au concours ou pour une standing ovation. Manifestement c’est la seconde hypoth√®se qui a pr√©valu, et j’en suis tr√®s touch√©.

    @Denis : En effet j’ai publi√© un peu vite ; les liens sont r√©par√©s.

    @Ange : je ne connaissais pas ce lien, merci pour l’info. Ca m’a l’air sympathique comme copieur ¬ę¬†hard¬†¬Ľ, mais j’ai l’impression que √ßa ne marche que pour les lecteurs 3 pouces 1/2, je me trompe ?

    @ Pascal : Merci pour le lien via ton blog, et le feedback sur les √©preuves de crypto, que tous se doivent d’aller d√©couvrir sur ton site, car tu as tr√®s bien su expliquer tout cela ! Vu que votre √©quipe a remport√© toutes √©preuves crypto, c’est la moindre des choses ūüėČ

  7. Merci pour cet agr√©able compte-rendu, mon ptit Bruno… Et mega merci pour les slides de ta prez. Etant comme toi un vieux de la demoscene, je ne peux qu’applaudir, et presque pleurer √† chaudes larmes tant tes slides me rappellent des choses agr√©ables… Aaaaah nostalgie…
    Ca me donnerait presque envie de me replonger dans le code asm 68000 ou même 6502 :-))

  8. Alexandre Aumoine dit :

    Petite correction sur les challenges mobiles: Fortinet (en l’occurence moi meme) a fait uniquement le Challenge sur SymbOS pas celui sur Android ūüôā .
    Pour resumer l’evenement, les conf etaient variees, interessantes et le concours sympa. C’etait un plaisir de rencontrer les conferencies et les participants.

  9. @Alexandre : Merci pour la pr√©cision, j’ai corrig√© ūüėČ

    @Cédric : On en reparle ce week-end, avec impatience !

  10. @Bruno √ßa marche apparemment pour les 5 1/4, les 3 1/2, les 3, et ils sont en train de voir pour les 8″.

    http://forum.kryoflux.com/viewtopic.php?f=3&t=29#p345

  11. Ping : Insomni’hack 2011 | Segmentation fault

  12. Alexandre Aumoine dit :

    @bruno: Correction ‘presque’ parfaite: C’est 1 challenge et pas 2 epreuves ūüėČ

  13. Ping : Insomni‚Äôhack 2011 | Linux-backtrack.com

  14. Lu33Y dit :

    Salut,

    C’√©tait bien sympa cet Insomni’Hack. Si je ne me trompe pas c’est avec toi qu’on a ¬ę¬†tritur√©¬†¬Ľ le chall avec le QRcode?

    Vivement le prochain ctf avec de l’irl (peut √™tre le RSSIL) !

    J’ai retrouv√© ton site en cherchant des news sur cette m√©morable soir√©e.

    ++

    ūüôā

  15. akronyme dit :

    Hello,
    Merci pour la pr√©sentation, j’ai personellement trouv√© que c’√©tait de loin la plus passionnante (avec celle de Dominique Climenti, effectivement trop courte). Je m’√©tais √† l’√©poque aussi amus√© avec les protections disquettes sur c64 (mais plus pour copier mes jeux pr√©f√©r√©s… on a le pass√© qu’on s’est fait!) et me replonger l√† dedans avait un bel arri√®re-go√Ľt de madeleine… ūüėČ
    BTW on √©tait l’√©quipe avec la borne, c’√©tait effectivement bien pratique (c’√©tait aussi un test de celle-ci dans une utilisation ¬ę¬†r√©elle¬†¬Ľ)

  16. Ping : En Bref … - CNIS mag

  17. Ping : Insomni’Hack 2011 | Fortinet Security Blog

  18. Ping : IT Secure Site » Insomni‚ÄôHack 2011

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *