-
S'abonnerAbonnez-vous à nos différents supports -
Magazines à l’unitéCommandez les nouvelles parutions ou complétez votre collection -
Livraison offerte à partir de 50€ d’achat ** Offre valable pour les numéros hors abonnements, livraison en France métropolitaine, appliquée une fois connecté !
Misc 92
Exploration des techniques de
Reverse Engineering :
- Débuter l'analyse d'applications Android avec Androguard
- Recherche de failles par analyse de firmwares sur Netgear
- Les techniques anti-reverse engineering et leur contournement
- Comment monter une plateforme pour l'analyse de codes malveillants
- Fiche pratique : de la légalité du reverse engineering
8,90 € TTC
Anciens Numéros
Malware Corner
p. 04 Analyse d’un malware en Node.JS
Forensic Corner
p. 10 Frida : le couteau suisse de l’analyse dynamique multiplateforme
IoT Corner
p. 20 Sextoys connectés : la débandade ?
Dossier
p. 22 Préambule
p. 23 Rétro-ingénierie d’applications Android avec Androguard
p. 30 CVE-2017-6862 : How I Rooted Your Router
p. 39 Anti-RE 101
p. 46 Introduction à l’analyse de malwares
p. 52 Reverse Engineering : ce que le droit autorise et interdit
Réseau
p. 56 Gestion des logs : présentation et mise en œuvre simplifiée d’un collecteur et d’un SIEM
p. 66 iBeacon, ça balise un max !
Organisation & Juridique
p. 72 Villes intelligentes et questions de droit
Cryptographie
p. 76 Usage de la cryptographie par les formats d’archives ZIP, RAR et 7z
Les VIP constituent par essence une population complexe à gérer pour les responsables SSI.
Ce sont les utilisateurs qui manipulent les données les plus sensibles d’une entreprise ou d’une administration, dont les fonctions les amènent à être mobiles et à devoir emmener une partie du patrimoine informationnel avec eux. Si ces problématiques représentent déjà un enjeu, certains peuvent se traiter d’une manière technique à renfort de chiffrement, d'authentification forte ou de terminaux durcis, tant que les matériels sont maîtrisés. Mais un autre paramètre, bien plus insidieux, risque de donner des sueurs froides aux responsables de la sécurité. De plus en plus de VIP sont en effet particulièrement friands de gadgets technologiques qui passent sous les radars de la DSI, tout en étant réfractaires aux règles de sécurité.
Ayant débuté ma carrière il y a une quinzaine d'années, j’ai commencé par me confronter à une génération hermétique à la technologie, voire plutôt intimidée. Au tout début des années 2000, il n’était pas rare de voir un cadre dirigeant dicter à sa secrétaire des e-mails et celle-ci imprimer chaque matin les messages reçus avant de les déposer dans un parapheur.
Le renouvellement de génération aidant, les VIP sont devenus de plus en plus fréquemment technophiles. Si l'on croise encore quelques réfractaires à l’informatique, se satisfaisant des outils standards proposés à l’ensemble des personnels, l’espèce est clairement en voie de disparition. Et au combo ordinateur portable et BlackBerry s’est rapidement substitué le mélange de terminaux professionnels et privés, d’usage de service Cloud grand public en complément (voire en substitution) du système d’information mis à disposition par la direction des systèmes d’information.
Combien de fois avons-nous reçu des mails envoyés par erreur, quand ce n’est pas quasi systématique, depuis une adresse Orange ou Gmail par les équipes de direction ? Ou encore la découverte de Dropbox ou autre Google Drive installés sur leurs portables quand ils sont envoyés aux équipes de maintenance pour le grand ménage de printemps parce que ça rame. Heureusement, grâce au streaming (merci YouPorn), l’époque de l’installation de logiciels de P2P sur les terminaux professionnels est un peu passée de mode. De même, on peut rendre grâce à la richesse des offres logicielles SaaS ou open source pour avoir un peu fait disparaître les logiciels Warez et leur bouillon de culture.
Un exemple criant de cette désinvolture nous a été donné lors de la dernière campagne présidentielle américaine par les deux candidats. D’un côté Hillary Clinton utilisant une boîte mail personnelle à la sécurité douteuse, et en tout cas largement inadaptée aux enjeux et aux menaces, et de l’autre Donald Trump refusant d’utiliser autre chose que son smartphone personnel, un Samsung S3 plus mis à jour depuis des années [1].
Pourtant la montée en force de la cybermenace, qu’elle soit d’origine étatique ou le fait d'activistes, risque d’être particulièrement disruptive et changer rapidement la donne. Qu’il soit possible de récupérer des informations sensibles de politiques ou de cadres dirigeants sur des services de Cloud grand public après une simple campagne de phishing risque d’être bien plus efficace que toutes les campagnes de sensibilisation menées par les équipes SSI et IT.
Cédric Foll / cedric@miscmag.com / @follc
[1] http://gizmodo.com/what-can-we-do-about-donald-trumps-unsecured-smartphone-1792559649
La publication technique des experts de la sécurité offensive & défensive
Face à la transformation digitale de notre société et l’augmentation des cybermenaces, la cybersécurité doit être aujourd’hui une priorité pour bon nombre d’organisations. Après plus de 20 années de publications et de retours d’expérience, MISC apporte un vivier d’informations techniques incontournable pour mieux appréhender ce domaine. Précurseur sur ce terrain, MISC a été fondé dès 2002 et s’est peu à peu imposé dans la presse française comme la publication de référence technique en matière de sécurité informatique. Tous les deux mois, ses articles rédigés par des experts du milieu vous permettront de mieux cerner la complexité des systèmes d’information et les problèmes de sécurité qui l’accompagne.
Le reverse engineering est une des techniques incontournables dans la plupart des métiers de l’infosec.
Quels sont les algorithmes et paramètres cryptographiques utilisés pour la vérification du mot de passe, la génération de clés et la confidentialité par ces formats de fichiers ?
Les villes intelligentes mobilisent les technologies de pointe pour créer des cités high-tech assurant une qualité de cadre de vie optimale. Elles se caractérisent par l’intégration de systèmes, par le déploiement de quantités impressionnantes de capteurs et de calculateurs, pour mesurer, évaluer, optimiser le fonctionnement des transports, de la sécurité, de l’éducation, de la consommation énergétique, ou encore de l’administration, de la santé. L’informatisation de la société et des secteurs-clés n’est certes pas nouvelle. Mais l’intégration des systèmes tout d’abord, puis la concentration de ces technologies dans des espaces encore relativement réduits, créent des conditions particulières qui soulèvent déjà nombre de questions d’ordre juridique : comment vivront les citoyens dans ces environnements dont les technologies sont appelées à réguler non seulement les systèmes, services et applications, mais également, de fait, leur quotidien ? Quel sort sera réservé aux données, notamment personnelles ? Qu’adviendra-t-il des libertés individuelles dans des milieux bardés de capteurs, de caméras, qui permettent de suivre les individus en tous lieux et tous instants ? Mais encore, qui gèrera, qui gouvernera, décidera ou possèdera : comment s’organisera le partenariat public-privé ?
