Annonce

Rduire
Aucune annonce.

Retour sur le Forum International de la Cyberscurit - FIC 2017

Rduire
X
 
  • Filtre
  • Heure
  • Afficher
Tout nettoyer
nouveaux messages

  • News Retour sur le Forum International de la Cyberscurit - FIC 2017

    Retour d'exprience sur la 9me dition du Forum International sur la Cyberscurit








    Un forum sous haute surveillance...


    Comme je l'ai dj un peu expliqu sur Twitter, le forum tait sous trs haute surveillance. De par son ct international et donc accueillant de nombreuses dlgations trangres mais aussi par le nombre de militaires, policiers et autres grads, les forces de lordre taient omniprsentes ! Cette surveillance tait couple celle de tous les visiteurs par des camras de surveillance 360, je n'ai pas vu les autocollants obligatoires indiquant une vido-surveillance cependant. Mention spciale aux gentils chiens qui composaient la brigade cynophile et qui taient l pour nous protger. Hormis cela, des soupons qui n'ont pas pu tre confirms sur la prsence d'IMSI-catchers dans les plnires sur le Forum.



    ...mais avec des gros rats au niveau de la scurit !


    J'ai longuement hsit mais finalement, je vais exposer ici les plus gros rats au niveau scurit que j'ai pu apercevoir lors de cette 9me dition. Les voici :
    • Les cartes NFC utilises aux bars et restaurants
    • Les cartes d'identification professionnelles (NFC ou pas !) accroches la ceinture des grads ou encore de simples professionnels
    • L'absence de filtre de confidentialit chez des professionnels en plnire, j'aii apprci de pouvoir consulter des comptes de socit et d'autres sur Twitter se sont mus de pouvoir consulter des analyses rseaux pendant plus d'une heure
    • Les raspberry Pi qui n'taient pas trs bien cachs dans les sacs et qui dpassaient avec leurs antennes
    • Les tickets de bagagerie affichs ct des badges en public, c'tait trs intressant, surtout quil n'y avait aucune vrification d'identit lors de la rcupration des bagages.
    • Des entreprises proposent toujours des cls USB lors de forums sur la scurit informatique. Paradoxal ? Rappelons juste qu'une des bonnes pratiques est de ne pas connecter des cls USB inconnues (A leur dcharge, je n'ai rien trouv sur la cl )

    MENTION SPCIALE l'application du FIC sur Android pour ses permissions plus qu'invasives : Quel besoin d'accder mes contacts, enregistrer des fichiers audio, accder et associer mon Bluetooth, lister les applications qui tournent sur mon smartphone ? Cest des autorisations plus qu'intrusives dans ma vie prive ! Une rponse serait chercher du ct d'un Framework utilis par une socit d'vnementiel. Pas trs scuris et srieux pour un forum avec pour thme la cyberscurit !


    Les points noirs du Forum :


    Un niveau technique de confrences disparate
    Certains visiteurs se sont plaints du niveau technique de certaines confrences. Et effectivement, il y a matire disserter sur le sujet. Entre les confrences commerciales (essayer au moins d'tre honntes et annoncez-le !) et des confrences simplistes, j'aiquand mme eu de bonnes surprises. J'ai assist plusieurs confrences sur ces deux jours de Forum, j'y ai notamment appris certaines choses, mais beaucoup de rchauff et de communication. Pour reprendre mon Tweet, une fois le vernis commercial gratt, peu de personnes savaient rpondre aux questions un peu techniques, nous renvoyant vers des sites web ou encore des "je vous enverrai la documentation technique la semaine prochaine".

    Une organisation qui peut mieux faire
    Une organisation qui peut rellement mieux faire. C'tait dsastreux au niveau de la gestion des quipes. Je prends tmoin les 4 personnes qui graient la brasserie et qui taient dbordes par des files d'attente. J'ai attendu plus de 40 minutes pour une boisson et un sandwich. On pourra aussi citer les files d'attente devant la bagagerie, certes moins longues, mais tout autant pnibles. Enfin, pour moi qui voulait assister la masterclass donne par Renaud Lifchitz, lorsque je suis arriv et que je me suis rendu compte de la taille de la salle et de sa proximit avec le CTF du FIC trs bruyant, j'ai bien essay d'entendre ce qu'il disait mais au bout de 5-10 minutes, j'ai abandonn. Je m'adresse aux organisateurs, si jamais vous lisez ce retour, sachez que quand vous avez des speakers, leur donner une salle de 15 mtres carrs, c'est tout sauf correct vis--vis deux et des spectateurs, surtout si leurs propos sont masqus par le brouhaha d'un CTF.


    Le chiffrement, un dbat surraliste

    Nous avons encore pu constater les diffrences de point de vue entre l'ANSSI (Agence Nationale de la Scurit des Systmes d'Information) et les reprsentants de la dfense et de la cyber-diplomatie en France. En effet, lors des questions poses par le public aprs les interventions des diffrents acteurs de la plnire sous le #FIC2017, j'ai envoy le Tweet suivant :




    Le dbat est donc lanc. Il s'en suit donc les arguments habituels : Nous devons pouvoir lutter contre les rseaux pdopornographiques et terroristes. Nous allons lgifrer prochainement sur le chiffrement. Le chiffrement ne doit pas empcher les forces de lordre de mener leurs investigations. Pour avoir discut avec deux de leurs membres de terrain (des analystes criminalistiques), franais comme belges, ils sont, eux, conscients de l'absurdit de telles dclarations. Comme le rappelle aussi le dirigeant d'OVH, plus gros hbergeur de France, c'est techniquement impossible de limiter la force du chiffrement. Ce qui est aussi intressant constater, c'est la position de Julian King, commissaire la scurit, charg de la lutte contre le terrorisme et le crime, qui lors de son discours, n'a pas manqu d'gratigner le chiffrement :
    La question du chiffrement demeure sensible. Le chiffrement est indispensable une protection efficace des donnes et ne saurait tre remis en question. Nanmoins, dans le cadre d'enqutes judiciaires, les autorits judiciaires ont parfois besoin d'accs des informations chiffres, qui pourraient aider viter de nouvelles attaques. Nous devons rflchir des solutions dans le plein respect de la protection des droits fondamentaux et des liberts individuelles.
    Une autre piste est voque dans une autre confrence de presse par Guillaume Poupard, Directeur de l'ANSSI, et qui parle donc de portes drobes ou encore de rapprochements entre les oprateurs et l'Etat. Mais le peu d'espoir qu'il nous reste est peut-tre aller chercher du ct de l'eurodpute Amelia Anderstotter, qui elle, promeut le chiffrement et tacle au passage le gouvernement franais en objectant que s'il veut que les citoyens respectent la loi, il ferait bien d'en faire autant au sujet de la vie prive.


    Vu ou entendu au FIC:
    • 100% des rseaux sont compromis (Cisco)
    • 50% des sites des collectivits territoriales ne sont pas jour
    • 26% des entreprises ont t victimes d'atteintes la protection de donnes (Thals)
    • 63% des RSSI qui affirment que la mobilit accroit les risques de scurit (Ercom)
    • 46% des RSSI ont not la prsence d'incident de scurit dans la flotte mobile (Ercom)
    • La production de donnes augmente de 50% par an, dont 75% de ces donnes sont des copies hors de contrle des metteur initiaux (ShadLine)



    Les principales annonces du FIC:


    Orange Cyberdfense annonce son arrive dans les Hauts-de-France
    Stphane Richard, PDG dOrange, pourrait dire Chose promise, chose faite . En effet, aprs avoir dclar en 2016 au FIC, la cration d'un ple d'expertise cyberdfense, il a cette anne, profit du FIC pour inaugur la cration de son ple de cyberdfense, ct de Lille, Lesquin. Aprs plusieurs rachats afin d'acqurir de la comptence, notamment LEXSI en 2016, Orange s'implante durablement dans la rgion, 100 postes prvus d'ici la fin 2018. Lille, une ouverture sur l'Europe o Orange Cyberdfense aimerait bien devenir un acteur majeur !

    ACYMA, le dispositif d'assistance aux victimes d'actes de cyber malveillance
    Inaugur en grande pompe par Thierry Delville (Dlgu ministriel aux Industries de scurit et la Lutte contre les cybermenaces), Axelle Lemaire, (secrtaire d'Etat au numrique et l'Innovation) et Guillaume Poupard (Directeur Gnral de l'Agence nationale de la scurit des systmes d'information) ACYMA (Actions contre la CYberMAlveillance) se veut tre le premier CERT grand public pour assister les victimes via une plateforme en ligne en les mettant en relation avec des professionnels de proximit. La plateforme veut mener des oprations de sensibilisation l'instar de ce que fait dj la scurit routire. Elle cr aussi un observatoire du risque numrique dont les missions seront de rendre compte et d'anticiper les menaces du monde numrique. ACYMA s'adresse aux particuliers, entreprises et collectivits territoriales, exception faite des Oprateurs d'Importance Vitale. Cette plateforme est cre avec un statut de Groupement d'Intrt Public et a comme gouvernance l'ANSSI, 3 ministres (Finances, Justice et Intrieur) et 3 collges (Utilisateurs, Prestataires et Offreurs de solutions).

    L'ANSSI labellise 26 formations SecNumEdu
    Le label SecNumEdu identifie les formations dans le domaine de la scurit du numrique et rpond une charte et des critres dfinis par l'ANSSI. Il vise amliorer le rfrencement des formations en scurit du numrique par la mise en place d'un processus qui prouve et garantit la pertinence de la formation par rapport ses objectifs afin d'en apporter l'assurance aux tudiants et aux entreprises d'un gage de formation de spcialisation en scurit du numrique. La liste complte des formations labellises est disponible ici.



    Mais le FIC c'est aussi des dcouvertes:


    L'association Le Cercle des Femmes de la CYberScurit (CEFCYS)
    L'association a quatre missions:
    • Mettre en avant les femmes travaillant dans le domaine de la cyberscurit
    • Encourager les femmes dvelopper en continu leurs comptences y compris par des runions avec des expert(e)s
    • Raliser la cartographie des comptences des femmes travaillant dans la cyberscurit
    • Organiser des vnements sociaux et des confrences destines aux femmes dans le domaine de la cyberscurit

    Leur site web:http://cefcys.com/

    Association des Rservistes du Chiffre et de la Scurit de l'Information (ARCSI)
    L'association qui comprend quelques minents spcialistes du chiffre articule son action autour de plusieurs axes dont voici ci-dessous les principaux:
    • Approfondir et diffuser la connaissance historique du domaine et en assurer la prennit.
    • Permettre chacun de tenir jour et de perfectionner ses connaissances en cryptographie et en scurit des systmes d'information.
    • Examiner les impacts sociologiques et les implications juridiques des volutions techniques.
    • S'exprimer, le cas chant, sur les questions touchant son domaine.

    Leur site web: http://www.arcsi.fr/

    Coucou

    La socit Cellebrite, qui, quelques semaines aprs avoir t vise par une grosse brche de scurit impliquant bon nombre de ses clients tatiques dans une divulgation de donnes de 900 Go, tait tout de mme prsente au FIC. propos des solutions proposes, une a particulirement retenu mon attention, il s'agit de UFED Cloud Analyzer, qui promet, du moins sur la plaquette, de permettre l'accs nos dispositifs et nos donnes dans les nuages prives, en faisant fi des formalits administratives.

    Le mot de la fin

    Malgr des dconvenues, le FIC reste une bonne exprience, mme si le ct commercial commence dtriorer l'esprit initial. Mais le FIC, c'est aussi l'occasion d'changer, de dcouvrir des entreprises et des personnes que ce soit dans le forum ou encore autour d'une flmmekeche et de bires.

    A l'anne prochaine !
    Dernire modification par L'OMBRE, 30 janvier 2017, 03h13.
    Writer, Cyber Security Enthusiast! Follow me on Twitter: @SwitHak

  • #2
    Bon retour dexprience, je suis tout a fait d'accord en ce qui concerne la taille des emplacements WorkShop.
    Je voulais juste ajouter que le CTF du deuxime jour t trs sympa et dans le thme du Forensic, les preuves sont dispo ici https://fic.srs.epita.fr/2017/ pour ceux qui souhaiterai regarder.
    Petit bmol sur le CTF du premier jour (CDAISI) qui manquait d'organisation dans la mise en forme des preuves qui aurait pu tre mieux rang et au moins avec un nom.

    Geluchat.

    Commentaire


    • #3
      Salutations Geluchat,

      C'est un plaisir de te revoir sur le forum. Je te remercie pour ce complment et n'hsites pas ajouter ton ressenti sur le CTF.

      J'aurai peut-tre le plaisir de te voir au ctf de la ndh en 2017.
      🤗
      Writer, Cyber Security Enthusiast! Follow me on Twitter: @SwitHak

      Commentaire


      • #4
        Bien sur, pas de problme, j'aime bien rencontrer du monde lors des events de scu info', on se fera une petite bire
        Dernire modification par Geluchat, 30 janvier 2017, 19h45.

        Commentaire

        Chargement...
        X