Insomni’hack 2011 c’est fini

Et c’Ă©tait trĂšs bien ! Tant les six confĂ©rences que le concours 😉

Une superbe organisation, des Ă©preuves trĂšs stimulantes et bien conçues, une logistique sympathique. au final, plus de 100 personnes pour les confĂ©rences, et prĂšs de 200 pour le concours, autant dire que c’Ă©tait une rĂ©ussite totale. Merci aux organisateurs pour ce bel Ă©vĂšnement.

Les conférences

Les conférences traitaient de différents sujets, tous trÚs intéressants.

SĂ©bastien Bombal a ouvert le bal sur un sujet assez peu technique et plutĂŽt orientĂ© RSSI, oĂč il expliquait comment gĂ©rer les aspects outsourcing du point de vue du management de la SSI, notamment en regard aux trio de normes ISO 9001, 14001 et 27001 mais Ă©galement ITIL, Cobit et eSCM. Peut-ĂȘtre un peu abscons pour la plupart des personnes prĂ©sentes dans l’amphi, car celles-ci n’avaient vraisemblablement pas le profil type « RSSI ». En ce qui me concerne cependant j’ai apprĂ©ciĂ©, et ai pu dĂ©couvrir cette norme eSCM permettant de mieux gĂ©rer les aspects contractuels en cas d’outsourcing. Il en existe plusieurs variantes, adaptĂ©es selon le contexte (et Ă  ne pas confondre avec cecimerci Google !) : eSCM-SP correspond aux exigences contractuelles vis-Ă -vis du client pour les Service Providers (eSourcing Capability Model for Client Organizations), et eSCM-CL gĂšre les aspects contractuels avec les clients (eSourcing Capability Model for Service Providers).

Axelle Apvrille est une chercheuse qui travaille pour Fortinet et est spĂ©cialisĂ©e en reverse et analyse de malware et virus sur tĂ©lĂ©phones mobiles. Et elle nous a fait peur, car ce n’Ă©tait pas du discours commercial mais bel et bien un avis de chercheur qui passe son temps Ă  dĂ©couvrir les nouvelles menaces. Manifestement, la tendance est clairement en train d’Ă©voluer vers de plus en plus de malware spĂ©cialisĂ©s pour tĂ©lĂ©phones Android, iPhone et autres choses rĂ©pandues. Malwares pour l’essentiel conçus par des organismes cybercriminels Ă  vocation lucrative ; l’objectif de la plupart des attaques visant Ă  installer un process en tĂąche de fond, qui accĂšde Ă  Internet pour exfiltrer des donnĂ©es personnelles, ou bien envoie des SMS surtaxĂ©s… J’ai bien aimĂ© le cĂŽtĂ© technique, code assembleur Ă  l’appui 😉 A noter que l’Ă©quipe a Ă©galement conçu deux Ă©preuves de reverse-engineering sur SymbOS pour le concours du soir, sympa !

Puis nous avons fait de la crypto, enfin presque… Pascal Junod, enseignant-chercheur et cryptologue Ă  Yverdon a dĂ©montrĂ© quelques attaques crypto efficaces sur les systĂšmes embarquĂ©s, montrĂ© que la quasi-totalitĂ© des librairies Opensource de fonctions crypto (Libssl, Openssl et j’en passe) sont toutes plus ou moins faillibles sur un certain nombres d’attaques, et que leur implĂ©mentation sur PC Ă©tait dĂ©jĂ  assez moyen mais que sur systĂšme embarquĂ© c’Ă©tait la catastrophe ! Tout ça plus ou moins par la faute de deux ou trois chercheurs de renommĂ©e mondiale qui ont dĂ©couvert toutes ces failles et n’ont rien trouvĂ© de mieux que de tout breveter pour revendre les mĂ©thodes de protection Ă  qui en aurait besoin.  Nous avons Ă©galement eu le droit Ă  une dĂ©monstration en live de timing-attack sur du RSA, et une explication de la faille MS10-070 qui joue sur un problĂšme de padding des blocs de donnĂ©es Ă  chiffrer. De quoi s’inquiĂ©ter un peu, tout de mĂȘme !

Petite pause cafĂ©, puis retour en amphi avec Dominique Climenti qui nous a montrĂ© une maniĂšre encore plus efficace pour rĂ©cupĂ©rer les clefs privĂ©es des codes RSA : l’hypnose ! Dominique est en effet muni de talents divers, et outre sa fonction d’ingĂ©nieur sĂ©curitĂ© au Canton de GenĂšve, il est Ă©galement magicien, danseur de tango et mentaliste ! Il a montĂ© Ă  plusieurs reprises diffĂ©rents spectacles sur le sujet, et nous a (trop briĂšvement, malheureusement) exposĂ© les principaux principes qui permettent de faire croire des choses Ă  un individu tiers, lui faire rĂ©vĂ©ler des infos Ă  son insu, etc. Le parfait guide de l’ingenierie sociale, en quelque sorte ! C’Ă©tait tout simplement passionnant (Ă  croire que tout l’auditoire Ă©tait sous hypnose en l’Ă©coutant !), mais le timing ayant du mal Ă  ĂȘtre respectĂ©, il a fallu passer Ă  la confĂ©rence suivante,

Compass Security est connu pour un certain nombre d’outils sĂ©curitĂ©. Alexandre Herzog nous a montrĂ© une faille de l’ASP .NET permettant de faire passer comme une lettre Ă  la poste toutes sortes de chose tels que du cross-site scripting malgrĂ© la panoplie de techniques de protection dĂ©sormais intĂ©grĂ©es sous IIS. Le problĂšme est en fait dĂ» Ă  un champ HTML cachĂ©, le Viewstate, qui permet d’encoder (en base 64) des choses pouvant ĂȘtre malicieuses sans passer par toutes les couches d’inspection de IIS. D’autres problĂšmes liĂ©es Ă  ce mĂȘme champ existent, tels que l’absence de chiffrement du contenu par dĂ©faut, ou le problĂšme MS10-070 citĂ© par coĂŻncidence juste auparavant par Pascal Junod dans sa prĂ©sentation. J’ai Ă©galement appris l’existence d’un outil d’analyse web gratuit appelĂ© Fiddler, qui se met en mode proxy entre le navigateur et le site Ă  tester, et qui va trĂšs prochainement remplacer mes Paros Proxy et WebScarab que j’utilisais jusqu’Ă  prĂ©sent ; car il m’a l’air vraiment mieux !

Enfin, vint mon tour de parler, pour la confĂ©rence de clĂŽture. Je me suis fait plaisir pour Ă©laborer celle-ci, et manifestement cela a portĂ© ses fruits vu l’enthousiasme dans la salle (merci Ă  tous !). J’ai prĂ©sentĂ© la sĂ©curitĂ© des systĂšmes d’information vue du bout de la lorgnette d’un ancien dĂ©momaker, et comment cela se passait il y a (dĂ©jĂ ) 20 ans de cela, en 1991. Des dĂ©buts sur MO5 Ă  l’Atari ST en passant par le Commodore 64, j’ai prĂ©sentĂ© diffĂ©rentes mĂ©thodes de protection de code pour finir en beautĂ© et en musique avec la prĂ©sentation de l’Union Demo sur Atari ST, et son copieur de disquettes intĂ©grĂ©. La prĂ©sentation est disponible sur mon blog, comme d’habitude.

Le concours

Quant Ă  lui, pas mal non plus. J’ai un peu participĂ©, au sein de l’Ă©quipe (gagnante) Bles, mais je dois dire que je me suis acharnĂ© pour rien sur les Ă©preuves de stĂ©ganographie. Je pense que je devais ĂȘtre trop fatiguĂ© aprĂšs mon intervention, car j’ai butĂ© sur des Ăąneries, quand j’y repense. Enfin ce n’est pas trop grave, car l’Ă©quipe a gagnĂ© tout de mĂȘme sans moi.

Quelques photos sympathiques, pour montrer l’ambiance festive parmi les presque 200 participants (l’organisateur, SCRT, a du refuser des entrĂ©es, c’est pour dire !)

La page de dĂ©marrage du concours… Nous avions des badges RFID pour valider les Ă©preuves rĂ©ussies, amusant !

Hackers Ă  l’oeuvre 😉

Une des épreuves de stégano à laquelle je me suis collé :

Le site web avec les Ă©preuves et le suivi de la progression des Ă©quipes :

Le Quartier Général des organisateurs

Les scores en temps rĂ©el. Largement en tĂȘte l’Ă©quipe Bles, suivi par HZV.

Toujours notre Ă©quipe qui se fait interviewer par Couleur 3 ! La journaliste Ă©tait un peu surprise de dĂ©couvrir ce milieu Ă©trange 😉

Des participants prĂ©voyants, qui avaient carrĂ©ment emportĂ© leur borne GPRS avec eux pour bĂ©nĂ©ficier d’Internet 😉

Quant Ă  moi, je n’ai pas pu assister Ă  la fin du concours ; Ă©tant en co-voiturage vers l’hĂŽtel avec l’un des chercheurs en malware de Fortinet. Mais c’est partie remise pour trĂšs bientĂŽt !

Ce contenu a été publié dans Conferences - Speakings, IT Security. Vous pouvez le mettre en favoris avec ce permalien.

18 rĂ©ponses Ă  Insomni’hack 2011 c’est fini

  1. Moser dit :

    Conférences intéressantes. La tienne a retenu tout mon attention, surtout concernant :
    – le bidouillage « stop-start » des moteurs pour Ă©crire entre les pistes
    – le coup de la magnĂ©tisation « faible » pour obtenir une valeur qui change selon le temps de maniĂšre « alĂ©atoire » euhhh disons « difficilement prĂ©visible ».

    et finalement :
    – le coup de cacher des instructions en mĂ©moire vidĂ©o… ou ailleurs d’ailleurs. Cela m’a fait penser aux calculs GPGU.

    J’Ă©tais par contre dĂ©jĂ  plus au fait des codes polymorphiques, enfin ceux que tu nommes : auto-gĂ©nĂ©rĂ©s et auto-modifiĂ©s.

    Merci donc Ă  toi d’ĂȘtre venu nous prĂ©senter tout ceci.

  2. Denis dit :

    Merci pour ce report, ça avait l’air sympa. Par contre, les liens vers eSCM ne sont pas valides.

    Également, ta prĂ©sentation est tout Ă  fait gĂ©niale !

  3. Ping : Actus GĂ©nĂ©ralistes 2011 S09

  4. TrÚs chouette, la présentation sur les démos et les protections.

    un lien indispensable pour plus d’info sur les protections de disquette: http://www.softpres.org/knowledge_base

  5. Ping : Pascal Junod » Insomni’Hack 2011: Souvenirs, Souvenirs

  6. @Moser, Denis, Ange (et les autres !), content que vous ayiez apprĂ©ciĂ© ma prĂ©sentation. Je me suis demandĂ© Ă  la fin de mon intervention si tout le monde se levait vite pour aller au concours ou pour une standing ovation. Manifestement c’est la seconde hypothĂšse qui a prĂ©valu, et j’en suis trĂšs touchĂ©.

    @Denis : En effet j’ai publiĂ© un peu vite ; les liens sont rĂ©parĂ©s.

    @Ange : je ne connaissais pas ce lien, merci pour l’info. Ca m’a l’air sympathique comme copieur « hard », mais j’ai l’impression que ça ne marche que pour les lecteurs 3 pouces 1/2, je me trompe ?

    @ Pascal : Merci pour le lien via ton blog, et le feedback sur les Ă©preuves de crypto, que tous se doivent d’aller dĂ©couvrir sur ton site, car tu as trĂšs bien su expliquer tout cela ! Vu que votre Ă©quipe a remportĂ© toutes Ă©preuves crypto, c’est la moindre des choses 😉

  7. Merci pour cet agrĂ©able compte-rendu, mon ptit Bruno… Et mega merci pour les slides de ta prez. Etant comme toi un vieux de la demoscene, je ne peux qu’applaudir, et presque pleurer Ă  chaudes larmes tant tes slides me rappellent des choses agrĂ©ables… Aaaaah nostalgie…
    Ca me donnerait presque envie de me replonger dans le code asm 68000 ou mĂȘme 6502 :-))

  8. Alexandre Aumoine dit :

    Petite correction sur les challenges mobiles: Fortinet (en l’occurence moi meme) a fait uniquement le Challenge sur SymbOS pas celui sur Android 🙂 .
    Pour resumer l’evenement, les conf etaient variees, interessantes et le concours sympa. C’etait un plaisir de rencontrer les conferencies et les participants.

  9. @Alexandre : Merci pour la prĂ©cision, j’ai corrigĂ© 😉

    @CĂ©dric : On en reparle ce week-end, avec impatience !

  10. @Bruno ça marche apparemment pour les 5 1/4, les 3 1/2, les 3, et ils sont en train de voir pour les 8″.

    http://forum.kryoflux.com/viewtopic.php?f=3&t=29#p345

  11. Ping : Insomni’hack 2011 | Segmentation fault

  12. Alexandre Aumoine dit :

    @bruno: Correction ‘presque’ parfaite: C’est 1 challenge et pas 2 epreuves 😉

  13. Ping : Insomni’hack 2011 | Linux-backtrack.com

  14. Lu33Y dit :

    Salut,

    C’Ă©tait bien sympa cet Insomni’Hack. Si je ne me trompe pas c’est avec toi qu’on a « trituré » le chall avec le QRcode?

    Vivement le prochain ctf avec de l’irl (peut ĂȘtre le RSSIL) !

    J’ai retrouvĂ© ton site en cherchant des news sur cette mĂ©morable soirĂ©e.

    ++

    🙂

  15. akronyme dit :

    Hello,
    Merci pour la prĂ©sentation, j’ai personellement trouvĂ© que c’Ă©tait de loin la plus passionnante (avec celle de Dominique Climenti, effectivement trop courte). Je m’Ă©tais Ă  l’Ă©poque aussi amusĂ© avec les protections disquettes sur c64 (mais plus pour copier mes jeux prĂ©fĂ©rĂ©s… on a le passĂ© qu’on s’est fait!) et me replonger lĂ  dedans avait un bel arriĂšre-goĂ»t de madeleine… 😉
    BTW on Ă©tait l’Ă©quipe avec la borne, c’Ă©tait effectivement bien pratique (c’Ă©tait aussi un test de celle-ci dans une utilisation « rĂ©elle »)

  16. Ping : En Bref … - CNIS mag

  17. Ping : Insomni’Hack 2011 | Fortinet Security Blog

  18. Ping : IT Secure Site » Insomni’Hack 2011

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *