février 16, 2016
C’EST UN BOULOT DIFFICILE, MAIS IL FAUT BIEN QUE QUELQU’UN LE FASSE.
Tous les mois de février, plusieurs milliers des meilleurs experts informatiques en sécurité se retrouvent sur une plage ensoleillée d’un hôtel, qu’il soit en Amérique, en Europe, en Asie, ou près des côtes d’Afrique de l’Ouest. Mais ils n’y vont pas pour le soleil, à proprement dit. Ou pour la plage. Ou pour les cocktails du bar de la plage. Ils y vont… pour combattre les charognes de l’informatique ! Du moins, c’est ce qu’ils essayent de dire à leurs proches lorsqu’ils disparaissent pour une semaine en février vers le paradis idyllique de l’année.
Et cette ANNÉE le paradis idyllique se nomme les Îles Canaries, choisi pour, vous l’aurez deviné, la Conférence sur la Sécurité Informatique (SAS) notre rassemblement annuel de nord-américains (pow-wow) gourous de la sécurité informatique. La conférence SAS réunit, des quatre coins du monde, de grosses armes de la sécurité informatique de diverses entreprises, avec différentes spécialisations, pour tailler le bout de gras comme on dit, parfois de façon formelle, la plupart du temps de façon informelle, dans des halls de conférence en sous-sol climatisés et sur des chaises longues sur la plage (oups, le secret est révélé aux proches), afin d’aider plus de personnes à comprendre le pourquoi du comment des menaces informatiques en échangeant les connaissances et expériences des experts.
La conférence SAS 2016 a rassemblé plus de 330 participants de plus de 30 pays.
Le premier jour tout le monde était dans le même grand hall, c’est là que les présentations introductives ont été données, celles choisies par le comité du programme. Le deuxième jour, on nous a divisé en trois groupes thématiques (l’un d’eux était (logiquement) dédié exclusivement au sujet primordial de la protection d’infrastructures).
De plus, pour la première fois cette année des séances de formation ont eu lieu sur des sujets techniques sensibles, y compris sur la rétro-ingénierie, ainsi que des master classes sur Yara et Maltego, toutes présentées par nos meilleurs experts. Tout est allé pour le mieux. Nul doute qu’elle seront présentées de nouveau lors des prochaines conférences SAS.
Comme d’habitude, quelques-unes des présentations se voulaient… créatives, visuelles et humoristiques. On ne s’ennuie jamais, c’est l’effet KL :).
Aussi par tradition, plusieurs scoops ont été dévoilés cette année : des déclarations importantes, dont certaines exclusives. Hélas, je n’ai pas pu assister à chaque « première ». Mais je pense que je peux faire quelques résumés des plus intéressants.
Les principales premières du SAS 2016 étaient des recherches sur les attaques cybercriminelles : Poseidon, GCMAN, Metel & Carbanak 2.0, Adwind et Dyreza. Quelques précisions derrière ces liens : fortement recommandés : encore mieux qu’un excellent polar !
J’étais un peu déçu qu’il manque des histoires d’enquêtes florissantes sur les cybercrimes, tels que des emprisonnements consécutifs d’hackers. En fait, il y en a eu une, celle de l’histoire racontée par la police hollandaise concernant notre opération conjointe contre les campagnes du ransomware Coin Vault. Il s’agit accessoirement du parfait exemple de comment les entreprises de sécurité et les autorités policières peuvent (et devraient) travailler conjointement afin de vaincre le cybercrime.
Le groupe de sécurité industrielle a vraiment fait du vacarme. Le hall était bondé : il s’agissait du rassemblement de présentation le plus prisé jusqu’ alors. Le sujet brûlant, actuel et pertinent y était vraisemblablement pour quelque chose. Mais aussi parce que certaines des présentations étaient si joliment titrées et alléchantes, y compris Comment pirater un hôpital ? et Le pot de miel des réseaux électriques fait face aux attaques. Oh oui. « Comment Pirater un Smartphone », c’est, comme, donc la dernière… décennie. « Les attaques de vecteurs sur les centrales nucléaires. » Ça sonne plus comme ça.
Cette année encore, une autre tradition n’a pas échappé à la règle lors du SAS : nous avons invité des experts qui ont apporté leurs contributions les plus fortes au développement de la cybersécurité mondiale. Lors de l’organisation de l’événement, le comité du programme a voté dans sa majorité pour deux américains… pouvez-vous deviner lesquels ? Indice : « Des voitures commandées à distance » ne s’applique plus seulement à des modèles de voiture miniatures ! Réponse : Charlie Miller et Chris Valasek, le duo qui vous a montré que la Jeep Cherokee peut être piratée et contrôlée à distance. Ce sont eux qui ont remporté le prix du « Most Valuable Profesional ».
Le journaliste Andy Greenberg était également présent, il est l’auteur de l’article sur le piratage de la Jeep Cherokee, le même qui conduisait la Jeep lorsque Charlie et Chris ont mené leur expérience. A en juger la multitude de mots commençant par F dans le rapport, je pense qu’il est plus honnête d’admettre qu’Andy était plus qu’un peu déconcerté lors de l’expérience, ce qui est compréhensible, vous vous imaginez en train de conduire et qu’en même temps quelqu’un vous éteigne le moteur à distance, tourne le volant, et allume la radio à fond ?!?!
Lorsqu’Andy a pris sa revanche sur Charlie et Chris, tout était une question de bon karma au SAS :).
Outre le fait que le SAS soit composé d’une élite (seulement sur invitations strictes), autre chose du SAS diffère grandement d’événements similaires notamment au niveau de l’ambiance tranquille et conviviale qui y règne. Pas de sanctions, pas de gens qui montent sur leurs grands chevaux, directement aller droit au but et aller à l’essentiel, avec une pointe d’humour et d’ironie. Pour de nombreux invités (y compris de KL), le SAS est la seule occasion de se retrouver avec ses collègues et semblables autre que via le portable ou Internet. Cela donne également un côté particulièrement agréable au SAS.
A la fin de la première journée, le sujet « 3 sur 3 » a vraiment très bien marché. Ici, des équipes défendent leurs points de vue sur des thèmes aléatoires de sécurité, souvent sur des points de vue pas forcément appliqués. Il était donc plutôt amusant de voir des champions de la confidentialité en ligne faire campagne pour tout contre la cryptographie, et des partisans de l’antivirus de nous convaincre que cet antivirus n’existe plus :).
L’attraction récurrente la plus « sympa » de cet évènement cet année fut certainement (tout particulièrement pendant le soir) Mighty Alcobot 0.1, un dispositif utilisé pour démontrer aux novices de l’informatique les bases de la sécurité informatique. L’Alcobot consiste en une tâche simple, mixer et servir des cocktails selon sur quels boutons on appuie. Mais si vous cherchez plus loin, vous trouverez que ce n’est pas si différent, à proprement dit, d’une chaîne de montage. Ce que les deux partagent en commun sont les vulnérabilités utilisées pour pirater.
Il s’est avéré que personne ne pouvait pirater l’Alcobot, on a juste secoué les cocktails, pas remué.
Après un autre SAS florissant, quelles impressions j’en garde ?…
… Que nous vivons dans un monde extrêmement vulnérable et que chaque jour nouveau apporte davantage de mauvaises surprises : de nouvelles attaques, souvent à grande-échelle principalement.
Cependant, quand vous voyez dans une grande salle des centaines des meilleures troupes de forces de spécialistes en cybersécurité, l’ambiance s’illumine d’un coup, et vous réalisez que les choses ne sont pas si désespérées que ça. Après voir écouter ces gens parler de façon (semi-) formelle et avoir bu un coup avec eux de façon très informelle, je me suis rendu compte que le monde a encore une chance. Mais ce que j’ai préféré par-dessus tout c’était que tous les experts présents provenaient de différents pays et d’entreprises diverses. Les pays se chamaillent aujourd’hui à cause de questions géopolitiques, tandis que les entreprises sont seulement en train d’avancer sur les besoins, qui sont dans tous les cas : travailler et rivaliser sur le marché. Les experts en sécurité n’ont pas d’autre option sous la main hormis celle de travailler ensemble, du même côté des barricades. Les hackers peuvent uniquement être détectés efficacement en coopérant et en rassemblant les efforts des collègues sur le terrain. Donc en se rassemblant tous ensemble sous le soleil de Tenerife, les participants du SAS ont démontré que les gens peuvent être unis par quelque chose de plus grand, celui d’un objectif noble. Les barrières nationales, institutionnelles ou quelles qu’elles soient n’existent plus.
C’est vraiment chouette, et très opportun.
Le reste des photos du SAS 2016 sont ici.
