Comme chaque année, (ou presque parce que maladie super énervée oblige) le SSTIC (pour Symposium sur la sécurité des technologies de l’information et des communications (ouais c’est un peu long)) s’est déroulé à Rennes (le nouveau chef lieu de la cyber-sécurité en France (enfin selon les Rennais (et pas Rennois comme disent certains))).

Ok, trève de parenthèses.

Mon premier SSTIC, c’était il y a 3 ans, soit la précédente édition physique qu’on pouvait faire. J’avais écrit à cette occasion un article sur le blog de Dashlane , mon employeur qui me laisse gentiment y participer, qui retrace comment la cyber-sécurité doit être un sujet qui doit être amené même aux plus Moldu d’entre-nous. Pour être honnête, même en ayant des notions de sécurité, beaucoup de présentations du SSTIC restent assez complexes pour moi à comprendre, mais c’est essentiel de garder une forte culture de la sécurité et de rester ouvert aux nouvelles menaces et aux nouveaux systèmes de défense qui nous impacteront dans notre travail.

Ce qu’il fallait voir au SSTIC 2022

Cette section est très subjective car elle se base sur mes centres d’intérêts, donc je vous conseille tout de même de regarder dans le programme ce qui peut vous plaire.

Smartphone et forensique : comment attraper Pégasus for fun and non-profit

Si vous suivez un peu les grandes attaques informatiques, vous n’êtes sans doute pas passé à côté de Pégasus qui est un outil de NSO Group permettant de s’infiltrer dans des smartphones (notamment ceux de la marque à la pomme). Comme vous vous en doutez cet outil est bien sûr utilisé à des fins totalement PAS éthiques et c’est là que Amnesty International intervient avec son Security Lab (et des gens très compétents dedans) pour aider notamment des victimes à détecter le programme sur leur téléphone et les protéger

Cette présentation de Etienne Maynier est vraiment top, je vous conseille de la regarder pour comprendre un peu plus comment des organisations à but non lucratif agissent elles aussi dans le milieu de la cyber-sécurité pour le bien commun.

La signalisation chez les opérateurs mobiles

Vous savez comment fonctionne un l’infrastructure réseau d’un opérateur réseau et les mécanismes de routage entre opérateurs ? Moi non.

Benoit Michau nous a fait un cours magistral sur la signalisation sur chez les opérateurs mobiles où l’on apprend comment la sécurité est gérée lorsque nous nous connections au réseau. Entre tentatives de fraude et espionnage, on découvre au cours de cette superbe présentation une infrastructure singulière et qui est encore loin d’être totalement sécurisée.

Mise en quarantaine du navigateur

Frédéric Vannière et le très énergique Fabrice Desclaux ont proposé une excellente présentation sur la mise en quarantaine du navigateur ou en d’autres termes comment isoler l’une des plus grosses surfaces d’attaque en entreprise. L’idée comme vous vous en doutez est d’isoler totalement le processus du navigateur et de ne diffuser sur l’ordinateur local que le flux graphique, en y ajoutant quelques fonctionnalités pour supporter le téléchargement de fichier via un partage WebDav.

Je vous invite sincèrement à regarder le talk qui a été l’un des plus drôle de cette 20ème édition du SSTIC.

Rumps: Stabilo BOSS

Pour terminer cette short list de présentations à voir, je ne pouvais pas m’empêcher de vous partager la meilleure Rumps de cette année (courte présentation dont la durée est dictée par les applaudissements du public (si ils en ont marre ou pas)).

Je ne vous spoil pas le sujet qui est juste incroyable, merci Etienne Sellan !

Voilà cette édition était vraiment excellente en terme de présentations, d’organisation et surtout de personnes passionnantes et passionnées rencontrées lors des social events.

A l’année prochaine !