Humeurs noires ou airs jais

ÉD~

1-'\

, ~ u" (;\

Humeurs noires ou airs jais

Dans le microcosme de la sécurité, il est une étoile défient alors que d'autres y cèdent. En ce moment, c', la curiosité éveillée par le secret de la Licorne.

Examinons cela au prisme de nos sept boules de cristal.

Pour certains, l'ANSSI, puisqu'il s'agit d'elle, est l'île oÙ personne n'ose s'aventurer, d'oÙ les rumeurs émanent alimenter une méfiance ambiante.

Elle affiche une neutralité absolue, compréhensible, car le

(en théorie).d'adouber avec son sceptre d'Ottokar telle ou telle entreprise.

neutralité interdit à ses ingénieurs de participer à des projets avec des personnes dans des entreprises pour éviter les soupçons de favoritisme parla suite... saufà ce que ce soit dans un cadre administratif public, type ANR, pour lesquels la charge bureaucratique fait fuir Tintin au pays des Soviets.

Elle émet une réglementation conséquente à la Objectif Lune, que ce soit pour la certification de logiciels ou le référentiel pour les audits SS!. Encore une fois, la bureaucratie et les« processus » associés favorisent les gros crabes qui se frottent les pinces d'or, mais pour les petits, ils ne sont pas près de marcher sur la Lune (enfin, pour le CESTI, on repassera mais pour la CSPN, ça se fait quand même, surtout qu'il faut reconnaître que l'équipe Certification porte une vraie attention aux petites entreprises).

Et pourtant, encourager les petits artisans capables de façonner les bijoux de la Castafiore s'avère une nécessité, et je ne dis pas ça que pour ma paroisse (je veux dire mon temple du soleil). Le « recrutement intensif » mis en place par l'État a asséché les entreprises, surtoutles grosses, en compétences techniques... mais les équipes administratives sont toujours là, à répondre à des appels d'offres ANSSI ou DGA par exemple pour toucher le trésor de Rackam le Rouge. Les meilleurs

étant partis, qui pour faire le boulot maintenant?

.

Pour d'autres, l'ANSSI, c'est la ruée vers l'ouest, en particulier pour les

&laquojeunes&raquo à qui sont proposés des salaires intéressants et, plus attractifs encore, des défis techniques dans un environnement stimulant (redescendez sur terre, il y a aussi des trucs qui empestent comme les cigares du pharaon). À l'inverse, dans certaines entreprises, les compétences ne sont pas payées ni exploitées à leur juste valeur. Merci aux campagnes de recrutement, tous azimuts, tellement assourdissantes que j'en ai encore l'oreille cassée.

La position actuelle de l'État (dite du lotus bleu) sur la certification, le référentiel ou la concentration des talents devrait avoir, espérons-le, un double effet formateur:

sur les utilisateurs de la sécurité d'abord, qui disposent d'indications pour émettre des exigences de sécurité réalistes, et différencier les prestataires. Retour au pays (de l'or noir) pour certains acteurs opportunistes, mais pas forcément compétents.

Ensuite, les entreprises devront apprendre à replacer l'humain au centre de leur préoccupation (on sent le neo-manager en moi, n'est-ce pas? ;)), l'humain étant au cœur de la sécurité, et à gérer leur patrimoine intellectuel. Certes, la route va être longue, et même si ça prend autant de temps que le vol 714 pour Sydney, les sociétés qui n'y parviendront pas... continueront à bosser avec les clients qui n'auront rien appris non plus. Mais au moins, les acteurs qui joueront le jeu auront contribué à augmenter le niveau général de protection.

Et à propos de faire monter le niveau général, il y a une rare concentration de geeks talentueux à l'ANSSI, à tel point qu'il n'y a plus de coke en stock dans les boutiques à 3km à la ronde. Néanmoins, il faut les remplacer dans le privé, et faire monter les nouveaux en compétences, planter la graine pour la faire devenir tournesol. Il est d'ailleurs rigolo de constater que ceux qui raillaient l'État et son absence de moyen en SSI sont aujourd'hui les mêmes à hurler tels des Picaros sur le pillage de leur patrimoine intellectuel.

Nous payons aujourd'hui un manque de formation et de vision, mais on part de tellement loin, genre le Congo... Dis Tintin, c'est encore loin l'Amérique?

En vous souhaitant une bonne lecture,

cette île hantée cesse, et viennent

~~\t .rUI'~ ~\'2.

MAI RE

UDCAL ROOT ANDROID :~';

EXPLOITATION STABLE DE LA VÙLNÉRABILITÉ CVE-2011-3874

Fred Raynal @fredraynal @MISCRedac P.S. : étant collectionneur de (très) vieilles BD, comme les Tjntjn, Spjroll, Blake et Mortimer, etc., si vous avez des parents, grands-parents, amis, autres, vous-même, qui en possèdent et souhaitent s'en séparer, merci de me contacter :)

Rendez-vous au 29 juin 2012 pour le n062 1

www.miscmag.com

1 M~;;;gr~;ic.1

1/ARrih-

,

r>

I~:;;;;;-.:?'I

1 _.ap"',o,"1 MISC est édité pa< Les Éditions Diamond

B.P. 20142/67603 Sélestat Cedex Tél.: 03671.00020- Fax: 036710 0021 E-mail: cial@ed-diamond.com . , SNvice comme'cial :abo@ed-diamond.com Sites: www,miscmag.com

www.ed-diamond.com .

IMPRIMÉ en Allemagne - PRINTEOinGermany Dépôtiégal: A pocu"on

N" ISSN : 1631-9036 Commission Pari!ai,e: K 81190 Périodicité: Bimé"'ielle P,ix de vente: 8,50 Euros

Di,ecteur de publication: Arnaud Metzl.r Chef des ,édaclions: Denis Bodoc Rédacteur en chef: Fredenc Raynal Secrétaire de rédaclion : Véronique Siltler Conceplion graphique: Kathrin Troeger' . Responsable publicité: Tél. : 03 67 10 00 27 Service abonnement: Tél. : 03 67 10 00 20

Impression: VPM Druck Rastatt! Allemagne .

Distribution France: (uniquement pour les dépositaires de presse)

MLP Réa55o,t : . .

Plate-forme de Saint-Ba'thélemy-d'Anjou. Tél.; 02 41 275312 Plate-forme de Salnt-Quentin-Fallavler. Tél. : 04 74 82 63 04 - Service des ventes: Distri-médias : Tél. : 05 34 52 34 01

MISC est un magazinéconsacré à la sécurité informatique soustous sesaspects(comme le systéme.]eréseau ouencore la programmatlonjetoù ~s pers.

pecUvestechniques et scientifiques occupent une place prépondéran".To~efolS, les questionsconoexes (modalités juridiques, mehaces;nformationnel~sj sont également considérées, ce qui fait deMISCunerevue capabled'appréhender la c.omplexltecroissantedessystèmes d'information, et les problèmes dé sécurité qui ]'accompagoentMISC Viseun largepublo de person",s souh"tént elarg" ses conoa"sences en se tenant ;n!acméesdes demiéres',,"niques

etdesoutilsutilisesafindemettreenplaceunedéfenseadéquate. . . . '

MISC propose des artides complelset pédagogiques afin d'antioper al! mieuxles. risques liésaupiratageet ".'sol"'ionspcur y r"médi~r. présentantp", cela des techniques offensives autant que défensives. leurs avantages et leurslimites: desfacettes Ind"soClab]es pouc considérer toûs les enjeux de la

sécucltéinformatique. .

LE BON, LA BRUTE ET LE TRUAND:

RETOUR D'EXPÉRIENCE DANS LES AUDITS DE CODE

[44-51] REVERSE C++ ET RTTI

[52-57]

« SANDBOXES »

[58-62.1 L'INTERNET PAR LE CÂBLE:

UN INTERNET À MÉDIA PARTAGÉ

LE TALON D'ACHILLE DE LA PLAUSIBLE DENIABILITY

FORENSIC CORNER:

WINDOWS SHELLBAGS

[74-76] ^{NATIONAL SOFTWARE REFERENCE} LIBRARY (NSRL)

FRAUDE AU CLIC ET DNSCHANGER : L'ÉTUDE DU CAS DE L'OPÉRATION GHOST CLICK

[77-82.1

[09, 63 et 64] BONS D'ABONNEMENT ET DE COMMANDE

Misc W61 - Mai/Juin 2012