Notre contribution à la communauté de la sécurité de l'information et des systèmes d'information

Retour sur la conférence DefCamp #8

conférence DefCamp - CONIX

Depuis 2011, la conférence DefCamp sur le hacking et la cybersécurité est considérée comme la plus importante des pays d’Europe Centrale/ Europe de l’Est. CONIX s’est rendu sur place pour la 8ème édition qui se tenait à Bucarest du 9 au 10 Novembre 2017.

Cette édition a réuni plus de 1300 visiteurs venant de 35 pays différents. Environ 350 entreprises étaient représentées dans des domaines aussi divers que la télécommunication, le secteur financier, le développement de logiciel,… 28% de ces entreprises étaient étrangères. Évidemment les pays les plus représentés étaient : Roumanie, Croatie, Ukraine, Bulgarie, Etats-Unis d’Amérique, Corée du Sud, Chypre, Norvège, Suisse et Allemagne. Quant à la France, elle n’était présente que dans les compétitions de hacking.

Il est à noter que cette conférence DefCamp n’est pas 100% technique. Elle se divise en 3 « tracks » (ou scènes).  La première réunie tous les sponsors de la conférence, un Hacking Village et un étage est réservé aux compétitions de hacking. La majeure partie des talks de cette scène est dédiée au Business mais pas uniquement (et heureusement). Une présentation sous forme de rétrospective sur les incidents de sécurité de 2017 a été faite par le CERT-RO (Alexandru Stoian & Catalin Patrascu), ponctuée de funny-facts nous rappelant que l’humain reste un humain, même s’il n’interagit principalement qu’avec une machine. Parmi les sujets abordés nous retrouvons bien entendu les Ransomwares de 2017, à savoir : NotPetya, Karo ou encore BadRabbit.

Inbar Raz (HackerOfThings), dont la réputation n’est plus à refaire, nous a présenté les résultats de ses recherches.  Les sujets sont variés mais orientés sur un seul point. Faire la chasse aux vulnérabilités pour voir jusqu’où on peut aller. Ses sujets de recherches allant de l’utilisation d’un bot sur Tinder, au contournement d’un système de réservation de taxi pour obtenir la géolocalisation exacte des clients, ou bien l’utilisation des pc All-in-one d’un Aéroport pour accéder à l’interface de management des routeurs wifi. Pour ce dernier cas, nous parlons bien entendu de routeurs sans mot de passe. Ceux-ci sont accessibles de l’extérieur et contiennent des informations plutôt sensibles…

Une autre présence remarquable parmi la liste des 60 speakers était Mike Spicer, un indépendant expert en sécurité, qui a présenté son invention assez unique : le #WiFiCactus. C’est un dispositif « portable ». Il combine 25 Hak5 PineApple pour pouvoir écouter de manière passive 50 channels wifi (peut-être présenté au SSTIC 2018?).

Les deux autres scènes traitent de sujets plus techniques. En particulier la présentation (un peu laborieuse car quelques soucis techniques) de Kirill Shipulin (Positive Technologies) sur l’utilisation des signatures d’un IDS contre l’IDS lui-même pour paralyser son fonctionnement. Il explique aussi comment les décisions prises pour avoir un compromis entre performance, sécurité, vitesse et qualité peuvent créer de nouvelles failles.

D’autres sujets assez en vogues sont abordés, comme  Internet of Things (Internet des objets) : fonctionnement des fermes de botnets (Mihai Vasilescu – Keisight Business), attaque à distance contre des IoT (Sabin Potîrcǎ – Bit Defender), Hacking d’un robot pédagogique « Robby The Robot » (Daniel Tomescu & Stefan Nicula – KPMG Romania) ; Ou encore le RGPD : Challenges sur les nouvelles législations et politiques de cybersécurité (Catalin Drula – IT Commitee Chamber of Deputies ; Cristian Cucu – CIO State Romanian Government ; Cristian Driga – Counselor Cooperation Dept CERT-RO ; Bogdan Manolea – Executive Director ATI), « GDPR T – 6mois. Êtes-vous prêt ? » (Tudor Damian – CEH, Microsoft CDM MVP Avaelgo).

Outre les conférences, on retrouve une compétition internationale D-CTF (environ 6000 participants, 1000 équipes réparties dans 95 pays) ainsi qu’un Hacking Village dans lequel on peut participer à une dizaine de compétitions (Defend the Castle, Ariadne’s Thread 2.0 CTF, ICS Humla CTF,…), ou encore s’entrainer sur un véritable DAB pour un challenge « Hack The Bank » (Walters Belgers l’a réussi en moins d’une minute via du lock-picking).
La conférence DefCamp se termine sur la remise des prix de toutes les compétitions. Après 24 heures intenses, les gagnants du D-CTF sont les équipes : 1. DCUA (Ukraine), 2. P4 (Pologne), 3. HackingForSoju (Suède).

 

By | 2017-12-18T11:23:59+00:00 18/12/2017|Conférences|