La dernière réunion de l’OSSIR s’est déroulée le 10 septembre 2013 dans les locaux de l’INRIA. Les sujets suivants y ont été présentés :
- Recherche de vulnérabilités Web avec HTTPCS par Mohammed Boumediane (HTTPCS)
- Optimisation des règles de pare-feu par Jean-Michel Tavernier (TUFIN)
- Revue d’actualité par Jean-Philippe Gaulier et Ary Kokos
Recherche de vulnérabilités Web avec HTTPCS (Mohammed Boumediane / HTTPCS)
Mohammed Boumediane, le PDG de la société éditant HTTPCS est venu de Montpelier présenter HTTPCS. Cette solution vise à répondre à une problématique simple : donner confiance aux internautes afin de favoriser les échanges en ligne, en garantissant le niveau de sécurité offert par un site à l’aide de son label. HTTPCS a été lancé commercialement au début de l’année 2013, et est le fruit de 2 ans de recherche et développement. La société emploie actuellement 35 personnes chargées de poursuivre le développmet d’HTTPCS.
HTTPCS se présente comme une application en ligne capable de scanner un site, et de l’analyser afin d’identifier les potentielles failles de sécurité qui l’affectent. Une fois le scan réalisé, l’application propose au détenteur du site les mesures à prendre afin de corriger les failles identifiées. Enfin, lorsque plus aucune faille de sécurité n’est identifiée par HTTPCS, le site fait automatiquement apparaitre un sceau de confiance sur le site scanné.
L’un des points forts de la solution mis en avant est sa capacité à cartographier le site de manière approfondie en analysant le contenu HTML, mais aussi JavaScript, ou encore ActionScript.
SLIDES
Optimisation des règles de pare-feu (Jean-Michel Tavernier / TUFIN)
Jean-Michel Tavernier et son collègue nous ont ensuite présenté la société Tufin, et les différents produits qu’elle propose aux entreprises. Cette société édite différentes applications permettant d’optimiser la gestion des jeux de règles des pare-feux. Pour cela, Tufin propose des applications permettant de couvrir différents cas d’usage, allant de la détection de la modification d’un jeu de règles à l’optimisation de ce dernier (Secure Track), en passant par la simulation de l’impact du déploiement d’un nouveau jeu de règle (Secure Change), en allant jusqu’à la gestion très haut niveau des applications et des groupes d’utilisateurs (Secure Apps).
Pour convaincre les entreprises, Tufin supporte les jeux de règles des principaux firewalls du marché (IPTables, Cisco, Juniper, CheckPoint …).
La démonstration a permis de mettre en avant les grandes fonctionnalités offertes par l’outil, et le workflow mis en place pour aider les différents intervenants à faire évoluer les jeux de règles sur les pare-feux.
SLIDES
Revue d’actualité
Avant d’entamer la revue d’actualité, Boris Hajduck nous a présenté rapidement un compte rendu des présentations auxquelles il a pu assister lors de la BlackHat et de la DefCon qui se sont déroulées cet été à Las Vegas.
SLIDES
Enfin, la réunion s’est terminée, par l’incontournable revue de l’actualité du mois écoulé, avec comme toujours, la publication de correctifs, les découvertes de failles de sécurité et les informations diverses autour de la sécurité. Au pied levé, Nicolas Ruff s’est fait remplacer par Ary Kokos et Jean-Philippe Gaulier. Parmi les points à retenir :
- Microsoft ouvre son programme MAPP à de nouveau type de partenaires « Responder » et « Scanner »
- Des ingénieurs de Google ont été récompensés par Microsoft dans le cadre Bug Bounty pour avoir découvert des failles dans IE11
- Des spécialistes du DNS améliorent les techniques existantes pour l’empoisonnement DNS
- le TLD .GOV aurait été temporairement indisponible à cause d’un problème DNSSEC
- Le prix des failles s’envole sous la pression des gouvernements
- L’OTAN publie quelques 0day sur McAfee ePO… qui se retrouvent ensuite exploités sur Internet
- Les autorités indiennes ont désormais accès au trafic BlackBerry
- La CNIL publie ses conclusions sur les cartes bleues sans contact
- Le plan anti-intrusion de la DGSE était sur le web
- Un problème de la compression JPEG testé sur copieurs Xerox
SLIDES
Prochaines dates à retenir pour les événements organisés par l’OSSIR :
- 8 octobre 2013 : prochaine réunion du groupe Paris ;
- 22 octobre 2013 : AfterWork réservé aux membres de l’OSSIR, avec une présentation de Frédéric Raynal (Quarkslab) intitulée « Projet Ivy: la carte d’Internet » ;
Enfin, la date de la prochaine JSSI a été annoncée : le lundi 17 mars 2014.
