Je vous vois déjà vous poser une question, existancielle peut-être, mais qu’est-ce qu’on peut bien faire avec un netbook durant aussi longtemps, surtout pendant un tour du monde.

La réponse pourrait, à première vue, être assez simple : répondre aux nombreux emails que j’ai reçu juste avant mon départ et dont je n’ai pas eu ² le temps d’y répondre.

Même si j’aime bien envoyer de longs emails, cette activité ne prend pas des heures (quoique…). Mais alors, qu’est-ce ?

Pour faire bref : mon activité professionnelle, ou faut-il plutôt dire, ma passion (pas les voyages, l’autre…) me manque, beaucoup ! Oui oui, vous avez bien lu, vous ne rêvez pas…

Pour ceux qui me connaissent bien, voir très bien, savent de quoi je parle. Pour les autres, c’est pas difficile à trouver. Il suffit de lire les anciens articles sur mon blog pour le découvrir. Mais comme je sais que vous êtes faignant, je vais aller au plus direct : j’aime, voir j’adore tout ce qui touche aux systèmes d’information, plus spécialement la sécurité informatique.

Et comme c’est un domaine qui bouge énormément, pratiquement tous les jours, même ³ en temps de crise ⁴, je ne peux pas, me déconnecter complétement de tout cela, c’est juste impossible pour moi. Et si ca peut vous paraitre bizarre, sachez que c’est comme ça, c’est ce qu’on appelle vulgairement sa passion !

Mais comment est-ce que je fais garder contact avec son monde qu’est la sécurité informatique ?

D’abord, j’ai, heureusement, toujours mes collègues et amis travaillant dans ce domaine (eux, ils ne sont pas fous pour partir une année…) qui me tiennent au courant via quelques emails.

Ensuite, et surtout, j’ai mes différents sources sur internet que je peux consulter régulièrement. Principalement des blogs, dédiés à tout ce qui touche à la sécurité informatique, dont la qualité des articles postés est excellente. Pour ne citer que le meilleur (ca reste MON avis, mais beaucoup de personnes du domaine le partage) , le blog de Cédric Blancher, alias Sid (non c’est pas moi, même s’il a le même nickname que moi), ou encore le blog d’un ami, connu (et reconnu aussi), celui de Bruno Kerouanton. Des sources d’information que je parcours et lis règulièrment…

Un exemple ? Le dernier article que je viens de lire est tout simplement excellent : Aveu de faiblesse ! Et là, même au milieu de la jungle laotienne, navigant sur Mékong, je me dis que le domaine de la sécurité informatique n’est pas prêt de disparaître. Tant qu’il y aura des humains derrière les ordinateurs, il y aura des choses à faire…

Alors si mon départ pour le tour du monde vous a étonné (ou vous étonne encore), vous pouvez être rassuré maintenant ! Je ne peux juste pas oublier ma passion, tout comme je ne peux pas oublier ceux qui faisaient mon quotidien en Suisse, ou ailleurs…

Arrivé un peu après 17h afin de donner un coup de main aux organisateurs, j’ai eu l’occasion de discuter avec ceux qui hébergeaient la manifestation, l‘Ecole d’Ingénieurs de Genève (le nom a récemment changé en Haute école du paysage, d’ingénierie et d’architecture de Genève). Cet événement a été possible grâce à l’implication de M. Litzistorf.

Dès 18h, ouverture des portes, puis début du concours. Chaque participant commence les différentes épreuves, réparties en plusieurs catégories :

• Web Hacking, avec de l’analyse de javascript, décompilation d’applet java et du Cross-site scripting
• Reverse Enginnering de fichiers binaires, aussi bien sous Windows que Linux
• Stéganographie dans différents images
• Cryptographie

Au fur et à mesure de la soirée, mes collègues et moi-même se sont pris au jeu. Bruno, comme à son habitude, c’est attaqué aux épreuves de reverse engineering, avec succès, et Michael et moi-même au reste.

Au final, une victoire surprise ! Suivi de tout prêt par nos compatriotes des DC4131 et par nos amis des Sexy Pandas.

L’autre grosse surprise était la couverture médiatique de événement :

• TSR1 au 19:30 le samedi 7 février : version en ligne ou à télécharger
• France3 au 19/20 le dimanche 8 février : version en ligne ou à télécharger
• RSR La 1ère durant l’émission On en parle : version en ligne ou à télécharger
• Et pour finir, quelques photos de l’événement disponible ici.

Ne vous attendez pas à un compte-rendus des différentes présentations, ce travail ayant déjà été fait sous form de live blogging, d’une manière très professionnelle par Sid sur son blog.
Mon article s’oriente plus vers ce qu’on fait Bruno Kerouanton ou encore NewS0ft sur leurs blogs respectifs. C’est-à-dire une réflexion de ce qu’est le SSTIC, mais en se plaçant du côté suisse…

En effet, mon plus grand étonnement après ces 3 jours à Rennes est clairement lié aux moyens que la France possède en matière de sécurité informatique, en me permettant une comparaison avec la Suisse.
Le SSTIC est sponorisé par de grandes compagnies comme EADS, Orange (ou France Telecom), … qui possèdent toutes un laboratoire de R. & D. (Recherche et Développement). Jusque là, rien de très spécial me direz-vous ?
Mais la liste ne s’arrête pas là. Le gouvernement français est aussi très présent, via l’armée française ou DCSSI (Direction Centrale de la Sécurité des Systèmes d’Information). Et là, je commence à l’interroger…

En effet, connaissant bien le monde de la sécurité informatique ¹ en Suisse, je me suis posé quelques questions en rentrant de Rennes. La Suisse, via son gouvernement ou son armée, n’a clairement pas les mêmes moyens qu’un pays comme la France ! Je vois déjà certains me répondre que la position de la Suisse à l’échelle mondiale n’est pas la même que celle de la France. C’est vrai, mais c’est pas seulement !
La Suisse n’est pas à l’abrit de cyber-attaques tel que celles subient par la France, l’Allemagne ou l’Estonie (la plus connue à ma connaissance). Il n’y a qu’à lire les rapports que publie le gouvernement suisse via sa centrale d’enregistrement et d’analyse pour la sûreté de l’informatio, MELANI !

Peut-être qu’un jour la gouvernement suisse sera utiliser le potentiel de chercheurs dans le domaine qu’il y en Suisse, car il y a vraiment des gens compétents. Mais là, je me mets à rêver….

A part ça, le SSTIC, c’est aussi la découverte d’une ville symatique, Rennes. Quatre jours de beau, le tout avec quelques crèpes, gallettes et du cidre sur de belles terrasses.
Mais c’est surtout la rencontre de personnes francophones connues pour leurs blogs, leurs présentations à travers les différentes conférences et/ou leurs articles dans le célèbre magazine MISC :

• Cédric Blancher
• Nicolas Ruff
• Nicolas Fischbach
• Frédéric Raynal
• et plein d’autres personnes travaillant dans l’ombre

Si j’ai l’occasion l’année prochaine, j’y retournerais pour l’édition 2009 !

UPDATE : Le détail des qualifications est disponible sur le site de l’équipe The Underminers. Une partie des épreuves n’ayant pas été trouvée par l’ensemble des équipes, j’aimerais signer l’excellente performence d’un des membres de l’autre équipe européenne, les Sexy Pandas, disponible sur leur blog.

En espérant pouvoir me rendre à Las Vegas du 8 au 10 août prochain…

Plus de 60 personnes ¹, de tous les niveaux, se sont affrontés : entre ceux qui viennent en couple, ceux qui sont encore qu’étudiants et se demandent quoi faire pour travailler dans la sécurité informatique, et ceux qui, passionnés, viennent en équipe afin de d’augmenter leur domains de compétenences. Parmi les équipes, deux venaient d’assez loin, l’une de Zurich, l’autre d’Espagne (en mission sur Genève ²). L’équipe espagnole (pas au complet) ayant terminée dans les meilleures équipes de la dernière DefCon, la plus célèbre compétition de Ethical Hacking organisée par Kenshoto ³. Même la presse étant présente, des journalistes (et photographe) de la région, mais aussi de Paris !

Au niveau des épreuves, une 12aine au total, réparties entre :

• Web Hacking avec de l’injection SQL et de la découverte d’URL
• Wireless Hacking avec du cassage de clé WEP
• Reverse Engineering de fichiers encodés et chiffrés.
• Forensics d’images ISO

Parmi ces 12 épreuves, 11 ont été réussies au moins une fois. Bruno, l’auteur de 4 épreuves, s’est fait plaisir en préparant cette 12ème épreuve : un mélange de Forensics, de Commodore 64 ⁴ et de patience ! Les solutions de ses épreuves sont déjà disponible sur son blog.

J’ai aussi profité de cette occasion pour une petite statistique au niveau des OS utilisés :

• 60 % de Linux
• 35 % de Windows
• 5 % de MacOS

Si on détaille un peu, ça donne :

• 29 % de Windows XP
• 21 % de BackTrack 3
• 14 % de Ubuntu
• 13 % de BackTrack 2
• 5 % de GNU/Debian
• 5 % de MacOS X
• et quelques machines en Windows 2000, Windows Vista, Slackware, Gentoo, GRML et même une en Arch Linux !

Aucune surprise au niveau des gagnants : les deux espagnols ont pris les 1ère et 3ème places, alors que l’équipe de Zurich se classe respectivement 2ème, 4ème et 6ème (sauf erreur).

Au final, cette première édition fût un succès, beaucoup de gens et une excellente ambiance. Une deuxième édition en 2009 ? C’est fort probable

UPDATE :

SCRT vient de publier une partie des solutions, ainsi qu’une vidéo qui résume l’ambiance. A ne pas louper !

C’est à partir de là qu’un long combat a commencé entre Apple et une communauté de gens qui désire rendre l’iPhone indépendant de tout opérateur :

• Le 3 juillet 2007, Jon Lech Johansen, annonce sur son blog qu’il a réussi à débloquer l’iPhone sans souscrire à un abonnement chez AT&T.
• Le 18 juillet, il devient possible de débloquer complètement un iPhone, en utilisant n’importe quelle carte SIM AT&T, carte que l’on peut se procurer aux Etats-Unis sans obligatoirement s’engager auprès d’AT&T pendant deux ans, en prenant par exemple une carte prépayée.
• Le 21 août, George Hotz, annonce sur son blog avec une vidéo à l’appui, qu’il a lui réussi à déverrouiller le téléphone grâce une modification matérielle, et l’équipe de IphoneSimFree annonce pouvoir effectuer ce déverrouillage via un simple logiciel.

A chaque fois, Apple a essayé de contrer les différentes modification par des mises à jour logicielles. Le jeu du chat et la souris en quelque sorte.

Tout ceci était valable si l’iPhone était vendu avec un firmware 1.1.1 ¹ OTB (Out of the Box). Mais depuis décembre 2007 ², Apple a modifié le bootloader de l’iPhone afin de nouveau contrer les différentes techniques utilisables jusqu’ici. Ce qui signifie que tous les iPhones vendus avec un firmware 1.1.2 ou 1.1.3 d’origine ne peuvent plus être utiliser comme téléphone. Seules les techniques de TurboSIM restent valable, mais il est nécessaire de découper la carte SIM.

Mais, car il a toujours une solution, à qui sait attendre :

• Le 18 janvier 2008, George Hotz explique avoir trouvé une méthode matérielle. Cette méthode demande d’ouvrir son iPhone, et est loin d’être triviale.
• Un jour après, le 19 janvier, le même George Hotz annonce qu’il est peu probable qu’une solution logicielle soit trouvée, car le nouveau bootloader d’Apple est très bien programmé.
• Le 7 février, il revient sur ces dires, sans donner d’explication.
• Et comme chaque série ou film américian finit toujours bien, George Hotz, encore et toujours lui, annonce qu’il est enfin possible de modifier un iPhone 1.1.2 OTB d’une façon logicielle. Comme il le dit lui-même :

“Yes, the impossible has been done.”

Sur son blog, il critique ouvertement les équipes “Dev Team” et “Elite Team”, pour n’avoir pas trouvé cette faille logicielle et rendu publique leur travail :

“Why don’t we all just share everything?”

Avant de conclure, j’aimerais profiter pour partager les quelques problèmes que j’ai rencontré en faisait cette modification logicielle. La meilleure documentation sur le sujet est certainement celle de Unlock.no. Voici les points clés :

1. Il faut commencer par installer le firmware 1.1.1.
2. L’activation du iPhone se fait via la technique Jailbreak. Une fois votre iPhone activé, il est utilisable, mais sans les fonctionnalités de téléphonie. Un réseau WiFi est nécessaire !
3. Le déblocage de la carte SIM se fait très simplement en installant un package via l’Installer.
4. A ce stade là, aucun réseau mobile est disponible, même si le iPhone a accepté la nouvelle carte SIM. Il est donc obligatoire de remettre le firmware en version 1.1.2. Une fois l’iPhone avec le nouveau firmware, le réseau mobile devrait être fonctionnel…mais pas les appels et messages.
5. Pour corriger ce dernier problème, il faut installer le package iWorld via l’Installer.

Après ces différentes étapes, l’iPhone 1.1.2 OTB devrait être parfaitement fonctionnel. Tout ceci est très bien détaillé dans la tutoriel de Unlock.no.

Pour finir, le combat entre David et Goliath est certainement pas terminé, car Apple continuera à sortir des mises à jour logiciels. Mais George Hotz a, à mon avis, réussi une performence incroyable. Un grand merci à lui pour son travail et son esprit ouvert !

Etant donné que le concours s’effectuera dans les locaux de SCRT, il faut biensûr s’inscrire. C’est gratuit, alors si vous aimez la sécurité informatique, le hacking, etc. n’hésitez pas, inscrivez-vous !

Tout comme un autre spécialiste du domaine qui prépare certaines épreuves, je serais de la partie !

I wish you all a Merry Christmas !

Afin d’avoir un peu de lecture pour ses prochains jours, ou plutôt semaines, j’ai récemment acheté ses deux livres :

• The Shellcoder’s Handbook: Discovering and Exploiting Security Holes

Ce livre est un recueil des différents articles et publications disponibles sur internet. Mais il a le mérite de tout rassembler et de structuer tout cela, surtout que le sujet traité est très vaste.
N’hésitez pas à commander la deuxième édition qui corrige beaucoup d’erreurs (surtout dans les exemples).

• The Web Application Hacker’s Handbook: Discovering and Exploiting Security Flaws
  

Après avoir un suivi un excellent cours aux BlackHat Europe 2007 donnés par Dafydd Stuttard et Marcus Pinto sur la sécurité des applications Web, j’ai décidé d’acheter leur livre (qui vient de paraître) sur le même sujet.

Une fois que j’aurais eu le temps de les lire, je publirais un petit résumé de ses deux livres pour ceux que cela intéresse !

L’inconvénient principal de cette application est le suivant : il n’est pas possibler de changer le mot de passe ¹ !

Etant donné que la fonction de chiffrement n’est pas la même entre les versions 1.30 et la 1.40 (la dernière disponible), j’ai donc écrit deux scripts PHP :

• Script de changement de mot de passe, avec migration de la version 1.30 vers la version 1.40
• Script de changement de mot de passe pour la version 1.40

Ce mémoire, rédigé en 2001, avait pour sujet : Architecture réseau basée sur Windows 2000.  Voici les différents documents :

• Mémoire (aussi disponible sur le site du laboratoire)
• Annexe n°1
• Annexe n°2
• Annexe n°3
• Annexe n°4
• Annexe n°5
• Annexe n°6
• Annexe n°7
• Annexe n°8
• Annexe n°9
• Annexe n°10

Bonne lecture !