Le Comptoir Sécu

Et de quatre!

Voici notre quatrième épisode enregistré en live à la Nuit du Hack 2016.

Dans cette épisode interviewons un encadrant de la NDH Kids qui nous détaille le contenu du programme NDH pour nos petites têtes blondes.

Lien direct pour le podcast: NDH Kids 2016.

Pour les curieux qui se demandent ou trouver le projet de chiffrement par émoji de Mozilla, c’est sur https://codemoji.org/.

Et de trois!

Voici notre troisième épisode enregistré en live à la Nuit du Hack 2016.

Dans cette épisode nous interviewons Renaud Lifchitz au sujet de sa conférence sur la revue sécurité du protocole Zigbee d’une box TV française.

Lien direct pour le podcast: Interview avec Renaud Lifchitz

Pour rappel, voici l’abstract de la conférence:

Le protocole ZigBee est principalement utilisé dans la domotique et les contrôles à distance. Cependant, le design du protocole et ses implémentations communes souffrent de quelques vulnérabilités.

Nous vous parlerons de ZigBee (basé sur le standard IEEE 802.15.4) et de ZigBEE RF4CE (le petit dernier aux USA). Nous présenterons également l’implémentation ZigBee d’une box internet/TV française étudiée en utilisant des outils commerciaux et faits maison.

Nous insisterons en particulier sur les différents mécanismes de sécurité dans ces systèmes comme l’échange de clés, l’authentification et le chiffrement. Nous verrons que la principale vulnérabilité de ZigBee est basée sur une lacune dans le système d’échange de clés et nous prouverons à quel point il est facile d’intercepter et utiliser la clé pour une attaque. Nous évoquerons également les risques associés et les bonnes pratiques à utiliser.

Le but de ce talk est d’établir les bases de sécurité pour les appareils IoT et les recommandations pour les futurs protocoles.

mots clés : IoT, ZigBEE, IEEE 802.15.4, RF4CE, home automation, set-top box, security*

Et de deux !

Voici notre second épisode enregistré en live à la Nuit du Hack 2016.

Dans cette épisode nous nous entretenons avec faisons interviewer par notre cher @JPGaulier.

Lien direct pour le podcast: Ici

Bonjour tout le monde !

Voici notre première épisode enregistré en live à la Nuit du Hack 2016, encore tout chaud! Bon, ok, légèrement tiède…

Dans cette épisode nous nous entretenons avec Thomas Aubin et Paul Hernault sur la sécurité et le respect de la vie privé dans Windows 10, dans la continuité directe de leur conférence.

Lien direct pour le podcast: Sécurité et vie privé sous Windows 10

Pour ceux qui n’avaient pas la chance d’être là, ci-dessous l’abstract:

Nous avons commencé nos recherches en nous intéressant aux droits légaux de Microsoft à propos de nos données. Lire les conditions d’utilisation est souvent vu comme une plaie, les gens l’acceptent sans vraiment y faire attention. Cependant, son contenu peut être intéressant et cacher des informations importantes. Dans cette partie du talk, nous parlerons du type de données qui sont collectées et les dangers de leurs divulgations. Quels sont les pouvoirs de Microsoft sur nos données ?

Si il y a un problème de vie privée dans windows, il y a communication, c’est pourquoi nous avons analysé les flux sur le réseau. Nous parlerons principalement de notre installation et de ce que nous avons découvert en examinant ces flux.

Un rapide tour sur comment fonctionne un man-in-the-middle sur SSL pour ceux qui ne le savent pas. Nous expliquerons également comment nous avons mis en place notre environnement pour étudier la communication de Windows. Nous avons décrypté plusieurs paquets SSL et trouvé que les données n’étaient pas anonymisées du tout. Chaque utilisateur a un identifiant utilisé avec plusieurs outils de Windows 10 (Cortana, recherches en lignes etc.) Nous n’avons pas réussi à décrypter chaque paquet, nous ne savons pas vraiment pourquoi, c’est comme si ils avaient détecté notre MITM, l’ayant contourné ou tout simplement refusant d’accepter un autre certificat.

Après la sortie de Windows 10, plusieurs développeurs voulaient préserver leur vie privée et ont décidé de créer un programme afin de bloquer automatiquement toutes les IP et DNS de Microsoft. La base de données de ces programmes doit être régulièrement mise à jour. Plusieurs programmes disposent de plus d’options comme désinstaller les applications Metro, mises à jour, cherchant plusieurs solutions, nous avons choisi de passer notre temps à analyser le plus utilisé (DWSLite). Etant open-source, nous avons sondé son code trouvant d’étranges modifications appliquées au système. Plutôt que de bloquer tous les services pourquoi ne pas les fausser et berner Microsoft à propos de nos profils? Les utilisateurs peuvent alors continuer à se servir des services sans être enregistrés. L’idée est d’envoyer beaucoup de données afin de rendre indissociable les vraies des fausses. Nous avons mis en place un proof of concept sur
un service : Cortana (Nous pourrions le faire sur n’importe quel autre service comme celui des diagnostics). Le programme que nous avons développé s’appelle CortaSpoof. Ce programme envoie en continue des requêtes aléatoires au serveur Bing.

Bonjour à tous,

Pour ce 38ème épisode, nous recevons Okhin pour échanger sur l’anonymat. Il travaille en ce moment avec la Quadrature du Net, a travaillé pour des ONG, comme la Fédération Internationale des Droits de l’Homme et a traîné quelques temps avec Telecomix.

Qu’est ce que l’Anonymat? Est-ce une utopie de nos jours? Comment la mettre en place? Nous parlons de tout ça dans cet épisode, ainsi que des dernières affaires sur le sujet…

Bonne écoute à tous !

Lien direct de l’épisode: ici

Musique :

Death From Above 1979 – The Physical World
Clor – Love + Pain