JSSI 2009

1A – Malware sur Second Life, mythe ou réalité ?

Conférencier : François Paget (Senior Virus Research Engineer, McAfee Avert Labs)

Des millions de personnes sur notre planète partagent leur existence entre deux mondes. Le monde réel, tel que nous le connaissons tous, et Second Life, l’un des nombreux univers virtuels accessible depuis Internet. Cette présentation est le compte-rendu de tests menés sur cette plateforme dont les buts étaient de démontrer la faisabilité de mener des attaques – in situ – avec des vers, des virus et des chevaux de Troie.

 

A propos de François :

François PAGET est l’un des membres fondateurs du groupe Avert au sein de McAfee. Il y travaille depuis 1993. En Europe, et durant 12 ans, il fut en charge de l’analyse des nouvelles menaces, de leur identification et de la mise à disposition de modules de détection et d’éradication. Sa principale responsabilité a été l’étude des nouvelles méthodes de détection générique et heuristique liées aux environnements Windows 32bits. Aujourd’hui François mène diverses études prospectives et fait de veille technologique pour sa société et certains de ses clients. Il s’attache particulièrement aux divers aspects lié à la grande criminalité et à la fraude financière en ligne.

1B – Les enjeux de l’e-reputation

Conférencier : Stéphane Koch (Internet Strategy Consultant, Intelligentzia.net)

Description non disponible.

 

A propos de Stéphane :

Stéphane Koch carries out advice and training missions in economic intelligence, strategic scanning, information confidentiality and informational risk. Holder of a postgrade HES degree in economic criminality fighting, he also intervenes in cases related to reputation management, informational asset protection of companies, business marks protection on the Internet, and in other problematic cases related with cybercriminality.

Member of the scientific board of HES postgrade studies in strategic scanning and economic intelligence, he is a speaker and lecturer for various public and private training institutions. His teaching fields cover the main directions of Information and Communications Technologies (ICT’s), i.e. : marketing, communication, advertisement, public relations; usability, ergonomy, conception and referencing of web sites; information security. Specialised in strategic management of information, he delivers a course on « offensive » and « diverted » uses of information via the Internet within the Ecole de Guerre Economique (School of Economic War) de Paris. In June 2004, he took part in the 3rd Session of the Risk and Security Exchange – Real & Virtual War: CIIP & the Public / Private Collaboration and lectured on « Swiss Think Tank on Risk & Security in the Light of Current IT Security Research ».

Deuxième session

2A – Filtrer et loguer, « yes we can ! »

Conférencier : Eric Barbry (Avocat au Barreau de Paris)

Nombreux sont les employeurs qui s’interrogent sur leurs droits ou non à filtrer les accès internet de leurs collaborateurs et à logguer les usages des outils professionnels mis à leur disposition. L’employeur dispose à n’en pas douter d’un droit de contrôle de ses collaborateurs. On peut même s’interroger sur le fait de savoir s’il s’agit d’un droit ou d’une obligation. Il existe en effet de plus en plus de dispositions qui contraignent les employeurs à prendre un certain nombre de mesures pour empêcher leurs collaborateurs d’utiliser sans discernement les outils mis à leur disposition. S’il existe un droit de contrôle de l’employeur, il ne s’agit pas d’un absolu. La mise en place de filtres ou l’usage de logs devant nécessairement s’inscrire dans le respect de la loi (droit du travail, droit informatique et libretés, droit de la preuve, droit des télécoms).

 

A propos d’Eric :

Eric Barbry dirige le pôle « Droit du numérique » du Cabinet Alain Bensoussan constitué d’une équipe de 20 avocats. Ce pôle regroupe les départements Internet Conseil, Internet Contentieux, sécurité des systèmes d’information, Informatique & libertés privé, informatique et libertés public et marketing & publicité électronique. Il est l’auteur de plusieurs ouvrages et articles consacrés au droit de l’Internet et du numérique. Il est membre fondateur de Cyberlex et de l’Association française des correspondants informatique et libertés. Membre de l’OSSIR. Il est chargé d’enseignement à l’Ecole nationale supérieure des télécommunications.

2B – Table Ronde : « Quels sont les nouveaux visages de l’insécurité informatique ? »

Avec la participation de : Stéphane Koch, Eric Barbry, François Paget Animateur : Hervé Schauer (HSC).

 

Troisième session

3A – Virtualisation et sécurité

Conférencier : Nicolas RUFF (EADS-IW SE/IS)

La virtualisation est une tendance lourde de l’industrie à laquelle il ne serait pas productif de s’opposer. Toutefois le passage au « massivement virtualisé » ne va pas sans bouleverser quelque peu les analyses de risques traditionnelles. Cette présentation s’attachera à faire le tour des techniques de virtualisation connues (virtualisation applicative, virtualisation système, bac à sable, etc.) tout en détaillant l’impact des risques techniques identifiables.

 

A propos de Nicolas :

Connu depuis plusieurs années dans le milieu de la sécurité informatique, Nicolas RUFF est chercheur au sein de la société EADS. Il est l’auteur de nombreuses publications sur la sécurité Windows dans des revues spécialisées telles que MISC, dispense régulièrement des formations sur le sujet et participe à des conférences telles que EuroSec, les Journées Microsoft de la Sécurité, la JSSI et le SSTIC.

3B – La sécurité des plates-formes ASP / SAAS
Ou comment concilier les objectifs de sécurité des sociétés clientes et des offreurs !

Conférencier : Yann Allain (Consultant sécurité – OPALE SECURITY)

Les plateformes ASP ou SAAS font partie intégrante des systèmes d’information des entreprises. C’est une tendance qui n’est plus à démontrer. De plus en plus d’entreprises ont recours à ce type d’offre. Mais quel est le niveau de sécurité de ces plateformes? Comment assurer la sécurité des données que l’entreprise confie à ces partenaires? Comment un offreur peut-il « rassurer » ses clients ? Dans cette intervention nous expliquerons comment concilier les objectifs de sécurité des sociétés clientes et des offreurs.

 

A propos de Yann :

Après son passage dans l’industrie comme ingénieur de conception de système de contrôle d’accès, l’auteur a orienté sa carrière vers l’informatique. Tout d’abord, responsable production pour une société du secteur financier, il a évolué vers la sécurité des SI lorsqu’il intègre le groupe ACCOR. Il en a été le responsable de la sécurité applicative. Il est le fondateur d’une société de conseil et d’expertise en sécurité des systèmes d’information : OPALE SECURITY (www.opale-security.com).

Quatrième session

4A – Les rootkits navigateurs

Conférenciers : Christophe Devaux et Julien Lenoir (équipe R&D, Sogeti / ESEC)

Les navigateurs web occupent un place privilégiée dans la vie de l’utilisateur et sur le poste de travail. Ils sont toujours autorisés à accéder à Internet et manipulent du contenu sensible. De plus ils ont gagné en complexité et s’apparentent de plus en plus à des systèmes d’exploitation. Nous avons étudié la possibilité de développer des rootkits pour navigateurs (IE7 et Firefox) dans un contexte post-exploitation.

 

A propos de Christophe et Julien :

Nous sommes tous deux ingénieurs R&D en sécurité dans l’équipe R&D de Sogeti / ESEC. Nous travaillons entres autres sur l’anticipation de nouvelles menaces et sur l’analyse de malwares.

4B – Les fonctions de hachage, un domaine à la mode

Conférencier : Thomas Peyrin (Expert en cryptographie chez Ingenico)

Les fonctions de hachage comptent parmi les primitives les plus importantes en cryptographie, elles sont notamment utilisées pour l’authentification et l’intégrité des données. Récemment, de nombreuses avancées en cryptanalyse ont remis très sérieusement en cause la sécurité des standards actuels, MD5 et SHA1, et des applications concrètes de ces attaques voient le jour. En prévision de futures avancées, le NIST a lancé fin 2008 le concours SHA-3 pour aboutir à un nouveau standard d’ici 2012. Actuellement, une grande partie de l’effort de cryptanalyse des chercheurs est concentrée sur ce domaine. Nous effectuerons dans cette présentation une initiation aux fonctions de hachage : les méthodes de construction, les applications, les attaques et les implications (aucune connaissance préalable en cryptographie ne sera requise).

 

A propos de Thomas :

Actuellement expert en cryptographie dans l’équipe sécurité d’Ingenico, leader mondial des solutions de paiement, Thomas Peyrin a auparavant effectué une thèse sur la sécurité des fonctions de hachage au laboratoire de sécurité d’Orange Labs. Il est l’auteur de plusieurs articles publiés dans des conférences internationales de cryptographie et est l’un des concepteurs du candidat « ECHO » au concours SHA-3 du NIST, futur nouveau standard pour les fonctions de hachage.