Skip to main content

Microsoft BlueHat Security Briefings : Sessions et entretiens - Printemps 2008

L'événement Microsoft BlueHat Security Briefings de printemps s'est tenu le 2 mai 2008. Visionnez les entretiens avec les présentateurs et consultez les descriptions des sessions et les biographies des intervenants ci-dessous. En savoir plus sur BlueHat.

 

Intoxication au sushi : prendre les « hameçonneurs » à leur propre piège

Description de la sessionIntervenants

Cet exposé détaille les outils et tactiques utilisés par les « hameçonneurs ». Il s'agit véritablement d'un nouveau regard sur un problème connu. Suivez-nous dans notre traque des hameçonneurs (escrocs) qui se cachent dans les recoins les plus sombres d'Internet, analysez les outils qu'ils utilisent, apprenez comment ils « hameçonnent » d'autres hameçonneurs et découvrez les sites où des identités réelles sont achetées et vendues…

Parmi les points abordés : méthode de création d'un site de hameçonnage, regard sur les portes dérobées qu'empruntent les hameçonneurs, comment les hameçonneurs se procurent des informations d'identité, approfondissements sur les outils utilisés par les hameçonneurs et les sites permettant d'acheter et vendre des identités volées.

Billy Rios
Ingénieur en sécurité, Microsoft

Billy Rios vit dans un aquarium et reçoit constamment des messages électroniques de connaissances du monde entier. Billy a gagné plusieurs fois au loto Internet, va recevoir de grosses sommes d'argent d'un parent éloigné du Congo et a reçu des chèques dont le montant est accidentellement passé de 30 $ à 30 000 $.

Regarder l'entretien

Regarder un entretien avec Billy Rios.

 

Nitesh Dhanjani
Cadre senior et directeur des services de sécurité des applications, Ernst & Young LLP

Nitesh Dhanjani est un chercheur en sécurité, auteur et conférencier renommé. Nitesh est actuellement cadre senior chez Ernst & Young LLP, où il dirige le travail des services de sécurité des applications. Il est responsable de la diffusion des nouvelles lignes de conduite des services de sécurité des applications, veille à ce que les lignes de conduite actuelles restent à la pointe du domaine et aide les entreprises à développer des stratégies de sécurité des applications de niveau international.

Avant son embauche chez E&Y, Nitesh était directeur principal du service Sécurité et évaluation des applications chez Equifax, où il a coordonné les tous nouveaux efforts de sécurité pour améliorer le cycle de vie du développement logiciel de l'entreprise, a créé un processus d'exécution des révisions de sécurité de code source et de modélisation des menaces, et a dirigé l'équipe chargée des attaques et pénétrations. Auparavant, Nitesh était Conseiller principal au sein du groupe Professional Services de Foundstone où, en plus d'assurer les évaluations de sécurité, il a participé à l'élaboration et a enseigné les cours de sécurité Ultimate Hacking de Foundstone.

Nitesh Dhanjani est l'auteur de « Network Security Tools: Writing, Hacking, and Modifying Security Tools » (O'Reilly) et de « HackNotes: Linux and Unix Security » (Osborne McGraw-Hill). Il a également contribué à « Hacking Exposed 4 » (Osborne McGraw-Hill) et « HackNotes: Network Security » (Osborne McGraw-Hill). Il a été invité à intervenir lors de divers événements portant sur la sécurité des informations, comme les Black Hat Briefings, RSA, Hack in the Box et OSCON.

Nitesh Dhanjani est diplômé de l'Université de Purdue, où il a obtenu une licence et une maîtrise en Sciences informatiques.

 


Navigateurs Web et autres erreurs

Description de la sessionIntervenants
Les navigateurs Web deviennent presque aussi complexes que les systèmes d'exploitation, sont tout aussi courants, et pourtant nous en savons très peu à leur sujet. Cet exposé examine les différentes parties des navigateurs et des plug-ins qui rendent les applications Web exploitables côté client.

Alex *kuza55* K.
Chercheur indépendant en sécurité

Alex *kuza55* K. est un membre actif de la communauté de recherche en sécurité des applications Web depuis plusieurs années. Il a publié des articles très appréciés et a récemment présenté les résultats de ses recherches lors de la 24e conférence sur la sécurité informatique Chaos Communications Congress à Berlin. Alex est associé chez SIFT où son travail consiste à casser des choses, tâche dont il s'acquitte pour le plaisir dans le cadre de son activité de chercheur indépendant en sécurité. Alex se passionne actuellement pour les fonctions sérieuses, amusantes et ineptes des navigateurs Web, qui cohabitent avec les anciennes fonctions toujours en place.

Regarder l'entretien

Regarder un entretien avec Alex *kuza55* K.

 


Un intrus dans mon domaine, et démêler Silverlight de Flash

Description de la sessionIntervenants

Un intrus dans mon domaine
Croyez-vous aux fantômes ? Imaginez un script invisible qui vous suit furtivement pendant que vous surfez, même après mille changements d'URL, alors que vous vous sentez parfaitement en sécurité. Imaginez maintenant que ce fantôme peut voir tout ce que vous faites, identifier les sites où vous surfez et ce que vous tapez (mots de passe compris), et même deviner votre prochaine action.

Aucun téléchargement, aucune confirmation d'utilisateur, aucun ActiveX ne sont nécessaires. En d'autres termes : pas la moindre contrainte. Nous allons voir ce que peuvent faire un script permanent et un script inter-domaines global. Nous allons également étudier la marche à suivre pour rechercher des scripts inter-domaines et permanents.

Manuel Caballero
Chercheur indépendant en sécurité

Manuel Caballero est chercheur en sécurité et s'intéresse plus particulièrement aux navigateurs Web et aux plug-ins. Il a travaillé pour une agence de publicité en ligne en tant que développeur de tous types de scripts « maléfiques » : scripts inter-domaines, scripts de contournement de bloqueur de pop-up, scripts permanents, etc. Il travaille actuellement chez Microsoft en tant que testeur de pénétration de produits tels qu'Internet Explorer, Silverlight, Gadgets, etc.

 

Fukami
Chercheur indépendant en sécurité

Fukami travaille comme consultant en sécurité chez SektionEins, une entreprise basée à Cologne (Allemagne). Il s'intéresse principalement à la sécurité des applications Web. Il est le fondateur d'un projet appelé FlashSec, consacré aux RIA (applications Internet riches) et plus précisément à la sécurité d'Adobe Flash.

Regarder l'entretien

Regarder un entretien avec Manuel Caballero et Fukami.

 

Démêler Silverlight de Flash
La nouvelle technologie plug-in de navigateur doit être très sûre, peut-être encore plus sûre que les solutions existantes. La question est de savoir s'il y a quelque chose à apprendre des erreurs et des faiblesses d'une technologie similaire. Silverlight mérite-t-il être appelé « Silverstrong » à cause de sa sécurité ?

La deuxième partie de cet exposé compare en détail la sécurité de Silverlight et celle de Flash. Les ressemblances et les différences, comme les sandbox de sécurité, la gestion des requêtes et des sockets, les stratégies inter-domaines et le stockage persistant, y sont abordées, ainsi que les scénarios d'attaque.

 


Kidnapping de jeton

Description de la sessionIntervenants

Cette exposé décrit une nouvelle technique d'élévation des privilèges sous Windows, principalement depuis les services. Cette technique exploite des faiblesses de conception de Microsoft Windows XP, Windows Server 2003, Windows Vista et même Windows Server 2008.

La présentation explique comment il est possible, dans Windows XP et Windows Server 2003, d'élever des privilèges au SYSTÈME LOCAL à partir de n'importe quel processus possédant des droits d'imitation ; dans Windows Vista et Windows Server 2008, d'élever des privilèges au SYSTÈME LOCAL depuis des processus exécutés par des comptes SERVICE RÉSEAU et SERVICE LOCAL, démontrant ainsi qu'il est inutile d'exécuter du code comme SERVICE RÉSEAU ou SERVICE LOCAL puisque l'on peut toujours finir par exécuter ce code sous le compte SYSTÈME LOCAL. Elle montre également du code « zéro jour » pour l'élévation de privilèges sous SQL Server 2005 et Internet Information Services 6 et 7.

Cesar Cerrudo
Fondateur et PDG d'Argeniss

Cesar Cerrudo est chercheur en sécurité et consultant spécialisé dans la sécurité des applications. Cesar dirige sa propre entreprise, Argeniss ( www.argeniss.com). Considéré comme un chercheur en sécurité des applications de premier plan, il est connu pour avoir découvert et corrigé des dizaines de failles dans des applications telles que Microsoft SQL Server, le serveur de base de données Oracle, IBM DB2, Microsoft BizTalk Server, Microsoft Commerce Server, Microsoft Windows, Yahoo! Messenger, etc. Cesar a rédigé plusieurs livres blancs sur la sécurité des bases de données et des applications, les attaques et les techniques d'exploitation. Il a été invité en tant qu'intervenant dans diverses entreprises et à de nombreuses conférences, notamment Microsoft, Black Hat, Bellua, CanSecWest, EuSecWest, WebSec et HITB. Cesar collabore à, et est régulièrement cité par, des publications en ligne comme eWeek, ComputerWorld, etc.

Regarder l'entretien

Regarder un entretien avec César Cerrudo.

 


Sus aux antivirus

Description de la sessionIntervenants
Peut-être la première présentation complète combinant deux sujets incontournables : comment exploiter un logiciel antivirus, et comment l'auditer. On a bien sûr déjà parlé de la sécurité des logiciels antivirus auparavant, mais les présentations se plaçaient sous l'angle de la rétroconception, ou ne mentionnaient pas d'exploitations et manquaient de détails techniques.

Thèmes abordés dans la présentation : pourquoi la sécurité antivirus est cruciale ; pourquoi les logiciels antivirus présentent autant de failles ; quelles sont les méthodes utilisées par les attaquants pour exploiter les vulnérabilités des antivirus ; comment auditer un antivirus ; que devraient faire les fournisseurs, les chercheurs et les utilisateurs. Cet exposé remettra également sérieusement en question la sécurité des « produits de sécurité » : antivirus, pare-feu, IPS, IDS, etc.

Sowhat déclare : « J'espère que les développeurs tireront des enseignements de ma présentation et sauront comment rendre Forefront et Antigen plus sûrs que les autres antivirus ».

Sowhat
Responsable technique, Nevis Labs

Sowhat est responsable technique chez Nevis Labs. Il se concentre sur la détection des vulnérabilités et leur analyse. Il a découvert plus de 30 failles dans des applications connues de fournisseurs tels que Microsoft, Symantec, Apple, Trend Micro, HP et Real Networks, entre autres.

Sowhat intervient régulièrement lors de conférences et a présenté un exposé à l'XCON 2005. Il devait également intervenir à l'occasion de 22C3 et PACSEC, mais a malheureusement dû annuler sa participation pour des raisons personnelles. Il interviendra à la conférence Blackhat Europe 2008, organisée au Pays-Bas le 26 mars 2008.

Regarder l'entretien

Regarder un entretien avec Sowhat.

 


Chercheur en sécurité chez Microsoft

Description de la sessionIntervenants
Dans le souci de mieux faire connaître les processus Microsoft aux spécialistes de la sécurité (et s'étant vu promettre une totale absence de sanctions disciplinaires), Bryan nous relate ses 30 premiers jours de travail chez Microsoft. Le poste de chercheur en sécurité chez Microsoft est-il vraiment le 6e pire job au monde (à peine mieux que spécialiste en stérilisation des éléphants) ? Découvrez la vérité de première bouche.

Bryan Sullivan
Responsable des programmes de sécurité, Microsoft

Bryan Sullivan est responsable des programmes de sécurité chez Microsoft. Il intervient régulièrement lors d'événements du secteur, notamment lors de la RSA Conference et de Black Hat, et a publié plusieurs livres consacrés à la sécurité des applications Web. Son premier ouvrage « Ajax Security » a été publié chez Addison-Wesley en 2007.

Regarder l'entretien

Regarder un entretien avec Bryan Sullivan.

 


Panel sur l'économie des vulnérabilités

Description de la sessionIntervenants
Le panel sur l'économie des vulnérabilités nous plonge dans le commerce des vulnérabilités, vu sous différents angles. Il offre un aperçu du marché actuel tout en expliquant le rôle joué par chacun de ses membres sur ce marché. La microéconomie, la macroéconomie et les marchés efficaces seront tous abordés.

Intervenants :

Terri Forslof
Responsable de la division Security Response de Tipping Point Technologies

Adam Shostack
Responsable des programmes de sécurité, Microsoft

Jeremiah Grossman
Fondateur et directeur technique de WhiteHat Security

Dan Kaminsky
Directeur de PenTest, IOActive

Regarder l'entretien

Regarder un entretien avec Dan Kaminsky.

 

Charlie Miller
Analyste principal chez Independent Security Evaluators

 

Microsoft réalise une enquête en ligne pour comprendre votre opinion sur le site Web de. Si vous choisissez de participer, l’enquête en ligne vous sera présentée lorsque vous quitterez le site Web de.

Souhaitez-vous y participer ?