Misc 95

Exploit Corner

p. 04 Exploitation du CVE-2015-4843

Malware Corner

p. 10 C’est une bonne situation, ça, Scribbles ?

Forensic Corner

p. 14 Paniquez pas, on grep !

Dossier

p. 22 Préambule
p. 23 Aperçu de la sécurité de Docker
p. 31 Introduction aux containers Linux
p. 40 Docker : les bons réflexes à adopter
p. 48 Docker, DevOps & sécurité : enfin réconciliés !

Réseau

p. 54 Protection 802.1x et techniques de contournement
p. 62 Trouver efficacement les équipements réseau vulnérables à un PSIRT

Système

p. 70 FreeOTP : authentification VPN à 2 facteurs open source

Organisation & Juridique

p. 78 Les CERT, acteurs de la cybersécurité internationale

The user’s going to pick dancing pigs over security every time™

Lors d’une conférence il y a quelques semaines, j’évoquais avec une collègue la GPDR et la nécessité selon moi d’une intervention des États pour contraindre les sociétés à protéger les données personnelles des usagers de leurs services numériques. Pour balayer devant ma porte, les administrations font souvent elles aussi preuve d’une coupable négligence et la sécurité est trop souvent considérée par les maîtrises d’ouvrage comme une brique technique pouvant être ajoutée en toute fin de projet par les maîtrises d’œuvre quand tout le reste est terminé. L’expression des besoins se résumant alors très schématiquement à « le niveau de sécurité doit être maximum sans perturber les utilisateurs, retarder la mise en service ou dépenser un euro de plus. Bonne chance les gars, on compte sur vous ! »

Pour revenir aux différents exemples de sociétés ayant perdu dans la nature la totalité de leurs données utilisateurs, mon interlocuteur m’opposait que Yahoo! était déjà un cadavre à la renverse quand ses données s’étaient faites pirater, qu’Ashley Madison était un marché de niche dont l’impact des pertes de ses bases était difficile à évaluer. Enfin pour Equifax, les utilisateurs présents dans leurs bases n’ayant pas choisi d’y être, la perte de confiance dans la sécurité de leurs données n’aurait pas forcément une grande incidence sur le business.

Peut être suis-je pessimiste, mais pour reprendre un exemple récent, je ne pense pas que la fuite de données personnelles conduise beaucoup d’utilisateurs à renoncer à gagner quelques euros sur leur prochaine course de taxi. Et par conséquent, je doute de la capacité des entreprises à assurer sans y être contraintes la sécurisation des données de leurs utilisateurs, il en est évidemment de même pour les téléservices des administrations pour lesquels il est de plus en plus rare de se voir proposer une alternative.

Mais trêve de défaitisme, cet édito est également l’occasion de vous faire part de deux ajustements dans le magazine.

Le premier est qu’à partir de ce numéro, Émilien Gaspar, déjà contributeur régulier de MISC et rédacteur en chef de plusieurs hors-séries va prendre en charge les dossiers. Il commence dès le numéro de janvier avec un dossier sur la sécurité des conteneurs, technologie ô combien à la mode qui a déferlé dans nos data centers pour devenir en quelques années incontournable.

Le second est que nous allons recentrer le magazine sur les sujets techniques. Certains d’entre vous nous ont fait part de leur réserve quant à quelques dossiers ou articles s’écartant un peu de la ligne éditoriale historique de MISC pour s’aventurer sur des sujets plus organisationnels. Nous en prenons donc acte et nous engageons dans un retour aux sources dès ce numéro.

Cedric Foll / cedric@miscmag.com / @follc