Mercredi

• Mathias Payer, “SecuBT: Hacking the hackers with user-space virtualisation“, une plate-forme de virtualisation destinée à sécuriser l’exécution de code suspect (page Web du projet).
• hunz, “Finding the key in the haystack: a practical guide to differential power analysis“, une présentation didactique sur les méthodes d’attaque des implémentations de chiffrement par analyse différentielle de la consommation.

Voilà ce que j’ai pu noter pendant ces quatre jours de présentations accessibles en ligne. Les ateliers et autres événements auxquels ne pouvaient évidemment accéder que les personnes présentes sur place diffusent quand même un certain nombre d’informations.

Enfin, vous pouvez visualiser les présentations diffusées maintenant sur CCC-TV. Cet article clôture donc ma revue du 26C3.

Lundi

• Michael Brennan a exposé ses travaux à l’université de Drexel sur la “Stylométrie”. Il s’agit de l’attribution d’un texte à un auteur à partir de son étude linguistique. La présentation portait aussi sur les impacts de ces méthodes en matière de vie privée: peut-on se faire passer pour un auteur, peut-on détecter un pastiche, peut-on cacher son style ?
• Un français, Sébastien Bourdeauducq (alias lekernel), a présenté son travail sur la plateforme Milkymist de synthèse d’effets spéciaux visuels. Il s’agit de développements réalisés sur un circuit logique programmable FPGA, en licence opensource.
• Collin Mulliner, “Fuzzing the phone in your phone” (déjà présenté au Black Hat USA 2009), travail conjoint avec Charlie Miller. Il s’agit d’insérer des SMS dans le téléphone mobile comme s’il les recevait du réseau (via la connexion modem du terminal) pour tester différentes hypothèses et concevoir des attaques par SMS (attaque en déni de service contre l’IPhone, Android ou Windows Mobile) et surtout permet de détecter des bugs dans les téléphones.
• FX de l’équipe Phenoelit présente des travaux sur la protection contre les attaques basées sur du contenu riche sur Internet (il a étudié les animations Flash malveillantes). Il s’agit de tester les applications Flash avant leur exécution. On peut trouver de l’information sur ce projet sur son site et ici un lien vers un article qui rend compte de cette présentation.
• Henryk Plötz et Karsten Nohl, ont renouvelé l’attaque qui avait défrayé la chronique sur la classe de produits Mifare Classic il y a deux ans, mais cette fois sur Legic Prime, un produit de contrôle d’accès sans contact d’origine Suisse. Ils avertissent que cela ne concerne pas pour l’instant les nouveaux produits de cette société (Legic Advant). Un autre article qui rend compte de cette présentation ici.
• Sous le pseudo nibbler, une présentation intitulée “Haste ma’n netblock“, au sujet de la récupération légale (ou non) des blocs d’adresses IPv4 alloués mais non utilisés…
• Philippe Langlois et Vanessa Brunet, dans “SCCP hacking, attacking the SS7 & SIGTRAN applications one step further and mapping the phone system“, sujet déjà présenté ce mois-ci à Sao Paulo. Y sont présentés différentes vulnérabilités, possibilités d’attaques et solutions de sécurisation des réseaux de téléponie modernes.

A noter que les vidéos officielles sont maintenant disponibles.

Le programme est accessible sur le Wiki de la conférence.

27 décembre 2009

• Jérémie Zimmermann (la Quadrature du Net) s’est exprimé sur la neutralité du Net ;
• Philippe Oeschlin (société Objectif Sécurité) a consacré son exposé à des failles de sécurité dans différentes applications commerciales de chiffrement (une clé USB sécurisée et deux logiciels de création de volumes chiffrés). L’intérêt de sa démonstration est qu’il n’est nul besoin de se lancer dans une attaque brute contre des systèmes de chiffrement particulièrement puissants, mais qu’il vaut mieux pour le cryptanalyste s’intéresser aux défauts de l’implémentation. Les défauts remarqués (et parfois corrigés depuis par les fabricants): l’envoi par la clé USB d’informations vers le système sur les mots de passe, un fichier de contrôle un peu fragile accompagnant le conteneur chiffré et un code de contrôle qui révèle beaucoup d’informations sur les mots de passe (permettant de le craquer en 2h30 au lieu de 1.7 année !). Philippe Oeschlin souligne aussi qu’aucun de ces systèmes n’utilise de sel pour initialiser le chiffrement et sont donc sensibles à la mise en place de tables arc-en-ciel (concept que Ph. Oeschlin a inventé).
• La démonstration par Qin Liu d’une expérience d’interception d’informations transmises par un système de cryptographie quantique. Une fois de plus ce n’est pas la cryptographie quantique qui est ici en cause, mais la façon dont elle a été implémentée.
• Chris Paget et Karsten Nohl ont fait une présentation assez intéressante sur les défauts inhérents au chiffrement A5/1 utilisé dans la téléphone GSM et ont cherché à démontrer la faisabilité des interceptions de la voie radio de ces communications (au passage, je tiens à rappeler que la fabrication ou la détention d’un tel dispositif sont illégales, au moins en France, en vertu de l’article 226-3 du code pénal) – à noter le buzz que commence à faire cette histoire (et ici) et le projet avait déjà été évoqué précédemment.
• Fabian Yamaguchi a fait une présentation particulièrement vivante (ma préférée parmi celles que j’ai pu voir au cours de cette première journée) sur des défauts de sécurité dans différents protocoles réseau ou leurs implémentations (attaque de failles dans un client de messagerie instantanée, dans un pilote de périphérique Ethernet, dans Squid – un proxy Web, etc…), qu’il déroule dans un scénario limpide et à la difficulté croissante (accrochez-vous quand même !).

Vous pouvez aussi visualiser les présentations sous forme de fichiers vidéo en téléchargement (lien temporaire pendant la conférence). La suite de mes impressions demain.