Vivatech est terminé, 3 jours debout à discuter avec vous (lecteurs du sites) et personnes intéressées par le bug bounty de YesWeHack. Et les retours sont excellents alors tant mieux. De plus en plus de sociétés s’y mettent pour améliorer leur niveau de sécurité.
Autrement, j’ai aussi 2 autres excellentes nouvelles…
La première c’est que je serai aux Geek Faeries pour faire une conf sur la sécurité mais aussi pour enregistrer un épisode Live des Webosaures, et plus encore si affinité. J’avais vraiment adoré cet événement l’année dernière. Une vraie bouffée d’air frais. J’en avais d’ailleurs ramené cette vidéo qui je pense finira de vous convaincre de venir. En tout cas, j’ai hâte d’y être.
L’autre grande nouvelle, c’est que ça y est, j’ai ENFIN la fibre… Woohoo ! J’ai du Orange et je monte en DL à 900 Mbps ce qui est plutôt chouette. En tout cas, ça va me permettre enfin de faire des lives vidéo de qualité.
Sur ce, je vous souhaite une excellente semaine. Prenez soin de vous et j’espère vous croiser nombreux aux Geek Faeries.
Vous permet d’établir une liste de serveurs ou de sites web à scanner régulièrement et automatiquement pour y détecter d’éventuelles vulnérabilités
Le scanner Security Guardian se destine donc aux webmasters et entreprises qui n’ont pas forcément de connaissances techniques en matière de sécurité, mais qui souhaitent tout de même améliorer leurs défenses face aux cybercriminels et anticiper d’éventuels problèmes de sécurité.
Lorsqu’un scan est effectué par Security Guardian, chaque vulnérabilité détectée est classifiée selon son niveau de criticité et vous êtes immédiatement alerté par email.
MyDataRequest est un site gratuit qui rassemble environ une centaine de services bien connus tels qu’Amazon, Netflix, Tinder ou encore Snapchat et qui propose toutes les infos permettant de récupérer nos données personnelles.
Dans les 3/4 des cas, ce sont des adresses mails auxquelles il faut faire la demande grâce au modèle d’email fourni.
Mais dans d’autres cas comme celui de Snapchat, il s’agit simplement d’un lien sur lequel il faut se rendre pour pouvoir récupérer une archive de ses données.
Décrite dès 1979, le Shamir’s Secret Sharing (partage de clé secrète de Shamir) est une technique consistant à diviser un secret (un texte ou un fichier) en plusieurs morceaux chiffrés, à distribuer ces morceaux à différentes personnes, et exiger qu’un quorum (nombre minimin de personnes) soit constitué pour déchiffrer le secret.
Vous pouvez par exemple chiffrer l’un de vos documents, en distribuer les bouts à 8 personnes différentes mais exiger que 5 personnes mettent en commun leurs morceaux pour que ce secret soit déchiffrable.
Pratique pour fonctionner sur un principe de « confiance distribuée ». Après cela peut aussi être un moyen de renforcer la sécurité de certains secrets en distribuant le risque, ce qui exigerait d’un attaquant qu’il s’en prenne à x personnes / machines plutôt qu’une seule.
Pour mettre ce partage de secret en pratique, il existe un outil qui s’appelle Sunder disponible sous Mac et Linux. Son fonctionnement est simple. Vous choisissez un fichier ou écrivez un texte à protéger, puis vous indiquer le nombre de morceaux que vous souhaitez distribuer, ainsi que le nombre minimum de morceaux à rassembler pour déchiffrer le document.
C’est très simple. Et cela vous donnera ensuite les petits bouts à partager.
Ensuite, il suffit de disposer du minimum requis de morceaux du secret pour le récupérer en intégralité.
Un cas d’utilisation « amusant » serait de chiffrer en 2 parts un secret, d’en publier une sur votre site web et de ne révéler l’autre publiquement uniquement via votre testament.
Bah quoi ? 😉
Enfin, vous voyez le concept quoi. Bon, par contre, Sunder est encore en alpha, et n’a pas été testé par des experts ni audité. Il est donc à prendre pour ce qu’il est, un joli proof of concept dont la solidité reste à prouver.
Vendredi dernier, avec Remouk, nous avons fait un petit live Youtube pour vous expliquer comment nous faisons notre veille d’actu quotidienne et répondre aux questions des gens sur ce sujet.
Je partage donc avec vous cette vidéo. De mon côté la qualité vidéo est toujours pourrie mais cela risque de s’améliorer prochainement puisque Orange a prévu de m’installer la fibre bientôt 🙂 Woohoo !
Si vous souhaitez vous entrainer un peu au pentest et au bug bounty, il existe un outil baptisé Juice Shop qui se présente sous la forme d’une application web de boutique en ligne et qui intègre l’ensemble du top 10 des vulnérabilités de l’OWASP et bien plus encore.
Juice Shop est écrit en javascript et repose sur Node.js, Express et AngularJS. L’application est simple à installer et cela peut se faire par node.js, Docker ou Vagrant pour tourner aussi bien sous Windows, Linux et macOS.
La base de données de Juice Shop est réinitialisée proprement à chaque redémarrage du service et chaque challenge réussi est inscrit sur un tableau de scores et peut être utilisé dans le cadre d’un CTF. Surtout qu’il est possible de personnaliser l’application pour lui donner le look et le contenu de votre choix.
