curiosité | Nino Sochet

Pentesting

Wed, 29 Sep 2021 00:00:00 +0000

Ou test d’intrusion en Français est un audit de sécurité d’un système d’information ou d’un réseau informatique qui est réalisé par une personne physique. Bien qu’il puisse comprendre des parties automatisées, il y aura toujours un testeur qui fera des tâches manuelles.

Les méthodes

Il y a plusieurs méthodes d’audit, la première est en black-box (en boîte noire) qui met le testeur dans la position d’un attaquant potentiel qui n’a pas de connaissance en amont de l’architecture du système et de ce qui le compose. Mais il a un point faible, le fait que le testeur a un temps limité pour réaliser les tests alors qu’un attaquant n’a pas de limite ce qui entraîne souvent qu’un test en black-box peut passer à côté de failles évidentes à la lecture du code, mais qui ne seront jamais connues lors du test étant donné que le testeur n’y a pas accès. La deuxième technique dite de la gray-box (boîte grise) permet au testeur d’avoir des connaissances sur le réseau interne du système ainsi que des accès utilisateur plus ou moins élevés en fonction du périmètre accordé au testeur, mais il n’a pas accès à toutes les documentations techniques ni au code source. La troisième est le white-box (boîte blanche) dans ce cas-là le testeur à accès à toutes les documentations techniques ainsi que l’accès au code source. Cela permet au testeur de pouvoir pratiquer des analyses statiques du code et ainsi pouvoir voir de potentielles failles qui sont difficilement visibles sans le code source. Il existe une dernière méthode qui permet de tester le niveau de sécurité d’une entreprise. Contrairement aux autres méthodes qui durent en moyenne une ou deux semaines, une red team va passer plusieurs mois sur un test en commençant avec seulement un nom d’entreprise et en ayant peu, voire, aucun périmètre. C’est la plus complète de toutes, mais elle a un coût temporel et monétaire considérable qui n’est pas accessible à toutes les entreprises.

Durant alternance

Durant mon alternance j’ai pu pratiquer des pentest en black-box et white-box pour des projets internes, mais aussi pour des projets clients. Je suis reconnaissant d’avoir pu faire des missions alors que je n’étais qu’alternant et j’ai conscience de ma chance. Mais ça ne suffit pas pour que je puisse me qualifier comme pentesteur il me reste beaucoup de choses à apprendre et des logiques à prendre. Mais je continue de m'entraîner quotidiennement afin de toujours apprendre et découvrir de nouvelles méthodes que ce soit sur Hack the box, Vuln Hub, Pentester Academy ou encore root-me.

Auourd’hui

J’ai pu passer la certification Offensive Security Certified Professional (OSCP), durant 24h j’ai dû prouver mes compétences en prenant le contrôle de 5 machines afin d’en faire un rapport professionnel en anglais. Mais je ne compte pas en rester à l’OSCP, la prochaine est l'Offensive Security Web Expert (OSWE) afin de pouvoir lier deux de mes centres d’intérêt, la programmation et l’exploitation de failles de sécurité.

Voir aussi

DevSecOps

Sat, 10 Jul 2021 00:00:00 +0000

Avant de définir le DevSecOps, il faut définir le devops. Le devops est l’unification du développement logiciel (dev) et de l’administration des infrastructures informatiques (ops). C’est l’automatisation et le monitoring de toutes les étapes de la création d’un logiciel: depuis le développement et l’intégration, les tests, la livraison jusqu’au déploiement, l’exploitation et la maintenance des infrastructures. Le DevSecOps est l’intégration de la sécurité dans le cycle devops. La sécurité est donc un enjeu du projet au même titre que le développement et cela dès le début du cycle de vie d’un projet.

Quel est son rôle au sein d’un projet ?

C’est lui qui va être responsable de la sécurité de l’environnement et des données, mais aussi de celle des pipelines continuous integration ou des continuous Delivery. Les CI/CD sont des chaînes de tâches automatisées comme l’exécution de test, le build d’une application ou encore la mise en production de l’application. Il va donc pouvoir mettre en place l’intégration d’analyseurs de sécurité comme l’analyse statique du code ou encore celle des dépendances. Il va aussi automatiser les mises à jour de sécurité, mais aussi la recherche de nouvelles failles avec des scanneurs de vulnérabilité pour trouver les plus flagrantes. Ainsi la sécurité de tout le projet est poussée par le haut tout le temps afin d’avoir un niveau de sécurité correct.

En entreprise

Durant mon alternance, j’ai eu l’occasion de découvrir le monde du devops et me former à celui du DevSecOps. J’ai accompagné un projet depuis sa naissance et ainsi pu mettre en place dès le début de celui-ci de bonnes pratiques. Mais j’ai aussi eu la chance de rentrer en cours de route dans des projets de plusieurs années et voir la dette technique accumulée et les pratiques à éviter. Je vais continuer à travailler en tant que DevSecOps et ainsi rechercher les derniers moyens afin d’avoir le meilleur niveau de sécurité de la manière la plus simple possible. Depuis la fin de mon alternance j’ai eu l’occasion d’accompagner les différentes équipes qu’elles soit techniques ou non pour l’amélioration de la sécurité à leurs niveaux.

Voir aussi

Angular

Sun, 07 Jun 2020 00:00:00 +0000

Angular est un framework client basé sur Typescript. Originellement, AngularJS Google a entrepris une refonte totale de son framework en 2016 afin de faire la transition vers Typescript. Aujourd’hui, Angular est un des grands frameworks client à côté de Vue.js et React. Avec les années qui passent, on reproche de plus en plus le côté lourd et lent face à ses frères de lance.

Angular et moi

Je ne réalise que rarement des interfaces utilisateur, mais durant mes différentes missions il m’est arrivé de devoir en réaliser. Je connais les grands aspects d’Angular et ne suis pas du tout expert en la matière. Mais quand je réalise des applications web, j’aime le fait qu’elles soient bien faites. Bien que le côté client ne soit pas mon premier amour, je trouve que c’est un savoir-faire nécessaire qui permet de mieux comprendre comment tout s’articule.

La rupture

Je ne pense pas travailler spécifiquement mes compétences sur Angular, mais plutôt reconvertir mon savoir dans un autre framework client. Ma première cible sera, je pense, React sans raison particulière à part la curiosité et le bouche-à-oreille.

Voir aussi

cowsay linux

Mon, 23 Mar 2020 00:00:00 +0000

 _____
< linux >
-----
\ ^__^
\ (oo)\_______
(__)\ )\/\
||----w |
|| ||

Je me revois sur les tutoriels de Bjornulf Frode en train de faire mes cd et ls, de découvrir ce qui sera plus tard comme une deuxième maison. Quand on commence à utiliser Linux, ça peut être déroutant. Tout change, que ce soit l’interface graphique ou l’organisation des fichiers pour une personne venant de Windows. Aujourd’hui les choses ont beaucoup changé sur cet aspect et la transition des nouveaux utilisateurs est beaucoup plus facile.

ping -c 1 127.0.0.1

Linux est devenu mon système d’exploitation du quotidien. Au fil des années, j’ai installé, testé et cassé de nombreuses distributions comme CentOS, Arch Linux, Ubuntu, mais je me suis naturellement sédentarisé sur Debian.

Mais peu importe la distribution, Linux apporte un vent de liberté. Liberté du code, chose qui depuis quelques années me tient de plus en plus à cœur. Mais surtout, liberté de faire tout ce dont on a envie avec, tant pour le personnaliser que pour supprimer le bootloader. Une fois que l’on y a goûté, utiliser un autre système d’exploitation nous paraît complètement aberrant.

Usage et évolution

J’ai passé de nombreuses heures à dompter tmux, zsh ou encore vim, enchaîné les awk et sed, le tout en domestiquant apt ou pacman. J’ai suivi la formation PWK afin de passer l’OSCP et ce fut un bon en avant dans ma maîtrise et utilisation de Linux. Même si la formation était centrée sur Kali Linux, une distribution qui regroupe des outils liés à la sécurité informatique, elle m’a apporté beaucoup de connaissances. Que ce soit une basique redirection de port avec SSH ou encore des exploits kernel afin de passer outre des groupes et utilisateurs du système. Grâce à cela je pense pouvoir dire que j’ai une connaissance plus qu’honorable sur Linux et que je ne compte pas en rester là. Il y a encore beaucoup de choses à apprendre et cela fait partie de mes buts d’en apprendre le plus possible. Je sais que je manque en connaissance en scripting avec bash et je pense que c’est la première lacune à laquelle je dois remédier afin de m’améliorer.

Voir aussi

Stal-k

Sun, 01 Mar 2020 00:00:00 +0000

Durant mes longues heures à faire des challenges sur des sites comme Root-me ou encore Hack the Box, je me suis retrouvé sur une catégorie très particulière, l’OSINT. Il n’y a pas vraiment de compétences techniques à avoir pour les réussir.

OSINT

Pour Open Source Intelligence, c’est le concept de renseignement en source ouverte. Pour simplifier tout ce qui est accessible depuis les moteurs de recherche et sans infiltration dans un système.

Pour automatiser et simplifier mes recherches durant celles-ci, j’ai découvert un projet de Greenwolf appeler social_mapper. Le but du projet ? On lui donne un nom et des images de la personne et il cherche sur les différents réseaux sociaux les personnes qui correspondent. Mais pourquoi lui donner des images ? Parce que ce qui démarque le projet c’est l’inclusion de la reconnaissance faciale pour trouver les bonnes personnes parmi tous les homonymes. En trouvant ce projet, j’étais vraiment content, tout ce que je cherchais. Mais c’était avant que ma curiosité ne prenne le dessus.

Installation et code review

Il n’y a pas d’exécutable tout prêt, c’est à nous de l’installer avec nos petites mains sur différents systèmes, dont les dépendances. Il faut donc installer Firefox, mais pas la version installer de base, sur tous les système linux, Selenium, Geckodriver, libgtk-3-dev et libboost-all-dev. Ce n’est pas impossible, mais si l’on n’est pas sur la même distribution Linux que Greenwolf c’est le début du bricolage. Étant surpris de cette installation et des fonctionnalités, je me suis plongé dans le code par curiosité de comprendre comment un social_mapper avait été développé. Beaucoup de mauvaises pratiques de développement comme du code dupliqué sont utilisées, il n’y a aucun modèle objet, un monolithe de 1500 lignes, très peu de gestion d’erreur et du code pour débugger partout en commentaire. À ce moment-là, le projet stal-k s’est créé dans ma tête.

Stal-k

Mon principal objectif était de faire une copie des fonctionnalités qu’on trouve avec social_mapper, mais codées cette fois en Go avec en objectif premier les performances, la simplicité d’utilisation et la clarté du code. Mais pour cela il fallait rechercher des technologies qui correspondent aux fonctionnalités de social_mapper en Go. J’ai fini par choisir chromedp pour l’émulation d’un utilisateur sur internet afin de récupérer les données et go-face pour la reconnaissance faciale. Je suis arrivé à la fin de mon Proof Of Concept (POC) en pouvant scanner le LinkedIn d’une entreprise et essayer de relier la personne à ses réseaux sociaux (Instagram, Twitter…) en ayant la possibilité de rajouter de nouveau site très facilement. Voici ici la configuration utilisée pour récupérer un compte facebook :

option:
name: Search on facebook
site: www.facebook.com
auth: true
search: true
viewport:
x: 1924
y: 1080
do:
- type: do
actions:
- type: navigate
value: https://www.facebook.com/login
- type: waitvisible
selector: '#email'
- type: sendkeys
selector: '#email'
value: '{{username}}'
- type: sendkeys
selector: '#pass'
value: '{{password}}'
- type: click
selector: '#loginbutton'
- type: waitvisible
selector: '#mainContainer'
- type: screenshot
- type: navigate
value: 'https://www.facebook.com/search/people/?q={{search}}&epa=SERP_TAB'
- type: waitvisible
selector: '#BrowseResultsContainer'
- type: while
selector: '!#browse_end_of_results_footer > div > div > div'
max: 10
actions:
- type: scrollbottom
- type: sleep
value: 1
- type: screenshot
- type: do
actions:
- type: sleep
value: 5
- type: sniffuser
value: >-
// some js code

J’ai pu rajouter des fonctionnalités sur la correspondance des profils, il y a la possibilité de vérifier si les images ne sont pas identiques et ce malgré les différentes, définitions. J’ai pensé le système le plus modulaire possible pour pouvoir ajouter des tests en fonction des idées qui me viennent.

Ça bloque

En poussant le POC je me suis rendu compte des limitations qui bloquaient l’efficacité de mon stal-k. Le premier, c’est le bannissement de mes comptes fake créés pour récupérer les informations étant donné que c’est un processus qui ne répond pas à la charte d’utilisation des différents sites. Il faut réfléchir différemment afin de contourner les systèmes pour ne pas faire sonner l’alarme des traqueurs de bots. Le deuxième est « seulement » lié à la résolution des images trouvées automatiquement. L’atout principal d’un outil comme stal-k c’est la reconnaissance faciale, mais celle-ci demande une résolution importante afin de fonctionner correctement. Pour certain site il est impossible de pouvoir trouver une photo en HD ce qui implique une nouvelle problématique, comment classer les comptes en évitant les faux négatifs ? Il n’y a pas de réponse toute faite et la solution que j’ai trouvée n’est surement pas la meilleure… Mon plan est assez simple, mettre un poids pour chaque vérification. Par exemple, homonyme 10 points, reconnaissance faciale a 70% positif 70 points, image similaire 100 points et ainsi mettre en place une échelle de sûreté du résultat par exemple entre 0 et 50 négatifs, 50 et 80 à vérifier et 100+ un résultat positif. Cette échelle est un simple exemple et il y a surement des modifications qui vont arriver pour l’équilibrer.

V1

Le projet a encore besoin de maturation et c’est pour cela qu’à l’écriture de cet article, le projet n’est pas encore disponible sur mon compte Github. Mais ça ne saurait tarder il faut juste trouver la bonne solution pour chaque limitation trouvée. Mais aussi faire en sorte que stal-k soit le plus facilement installable et cela grâce à un container. Ce dernier se voudra simple et efficace et pourra répondre à tous les problèmes de dépendance et de plateformes (Windows, OS X, Linux …). Il reste de nombreuses choses à faire sur stal-k et de nombreuses idées à trouver. Et je suis sûr qu’avec le temps stal-k saura émerger tel le Cthulhu de la mer.

Voir aussi

Un clavier ?

Sat, 22 Feb 2020 00:00:00 +0000

Si vous lisez cet article, vous savez probablement ce qu’est un clavier et en avez surement un devant vous. Qu’il soit virtuel, sur votre smartphone ou physique, devant votre écran, il est là. J’ai toujours fait attention mon clavier, avec les jeux vidéos j’en avais choisi un mécanique. Mais quand celui-ci a cessé de fonctionner, je me suis retrouvé face à un dilemme. Lequel choisir ? Il existe une grande gamme de produits disponible avec tout un tas de spécificités qui sont propres à chacun. Plus je cherchais, moins je trouvais un clavier à mon goût. Les claviers gamer avec des LED à n’en plus finir, des claviers avec le double de touches, des claviers trop petits. Trop de choix tue le choix. Je me suis alors posé une question : pourquoi ne pas assembler mon propre clavier ?

Do it yourself

J’avais déjà vu des vidéos de personnes qui assemblent des claviers mécaniques et je savais qu’il était largement possible de le faire. J’ai donc fait le tour du web pour me renseigner sur ce qu’il fallait comme savoir-faire et les différents composants dont j’aurais besoin. En savoir-faire, c’est plutôt simple : il faut de la minutie et savoir prendre son temps, notamment lors du soudage. Je n’en avais jamais fait, impossible pour moi de dire si j’allais réussir, si c’était simple ou compliqué. C’était mon point noir et à part regarder des tutoriels vidéos, impossible de savoir comment j’allais m’en sortir. Malgré le doute en moi, j’ai décidé de prendre le risque et je me suis lancé : je vais faire mon clavier ! Après cette décision, de nombreuses interrogations se sont imposées à moi comme : quel PCB choisir ? qu’est-ce qu’un PCB ? Qu’est-ce qu’un clavier 60%, TKL, Full-size ? Quel switch choisir ? Quel boitier prendre ? AZERTY ou QWERTY ? Comment utilise-t-on les touches fonction sur un clavier 60% ? Et beaucoup d’autres questions, trop de questions. À de nombreuses reprises, je me suis dit que j’allais tout arrêter et juste en acheter un tout fait comme tout le monde. Mais l’idée me revenait continuellement en tête et je m’y replongeais. J’ai fini par trouver une réponse à toutes mes questions. Pour faire court et répondre à toutes ces questions mon clavier sera donc un : Clavier mécanique 60% avec switchs Box Red dans un boîtier en bois.

D’accord…

Pour ne perdre personne, je vais donc reprendre quelques points. Tout d’abord, qu’est-ce qu’un clavier mécanique ? Il existe plusieurs technologies de clavier, la première est le clavier à membranes. On les retrouve le plus souvent sur les claviers des ordinateurs portables ainsi que les claviers premier prix, ils ont l’avantage d’être peu bruyant et compact. La deuxième est le clavier à interrupteurs mécaniques, dit clavier mécanique, qui fait partie des premiers claviers sortis. Vous avez surement déjà eu un jour. Ils ont l’avantage d’avoir une meilleure durée de vie, d’être plus agréable d’utilisation, mais ont pour inconvénient d’être plus chers et de faire du bruit à chaque frappe. Pourquoi on dit qu’un clavier est mécanique ? Comme énoncé plus haut, on les nomme d’après leurs interrupteurs mécaniques, switch en anglais, c’est une pièce plastique sur un ressort. Quand on appuie sur cette pièce on fait toucher les deux branches métalliques et ainsi l’information que la touche a été appuyée est transmise.

Il existe plusieurs types de switchs en fonction de la sensation que l’on veut avoir quand on appuie sur une touche. Chaque personne a sa préférence et pour trouver la sienne il vaut mieux les tester avant de les choisir. Pour ce qui est du PCB, finalement c’est tout simple : c’est le circuit imprimé qui permet d’envoyer les informations à l’ordinateur. 60%, TKL et full-size est la taille du clavier il existe des variantes qui sont nommées en fonction du pourcentage de touche présente par rapport à un clavier full-size.

La construction

J’ai donc commandé toutes mes pièces, mon soudeur et ma pompe à dessouder. Et dès que tout était complet, je me suis mis à l’œuvre. Dans un premier temps j’ai décidé de lubrifier tous mes switchs pour être sûr que ce soit plus agréable, et cela en les démontant un par un avec un pinceau. On graisse alors au silicone toutes les pièces qui composent le switch. 68 switchs c’est long et fastidieux, mais le résultat est là et le son en est changé. Autant faire les choses bien !

L’étape d’après est le test pour savoir si le PCB fonctionne bien. Une fois testé, on peut disposer les switchs sur le PCB grâce à une plaque en métal qui va plus tard permettre de le protéger.

La dernière étape avant le soudage est l’application des touches sur les switchs afin de tester que ceux-ci sont bien mis à leur place sur le PCB.

C’est l’heure du tant attendu soudage, celui qui apeure et donne envie. On prépare le poste de soudage, fils à souder et protections et on est parti. À l’instant T, j’ai vraiment apprécié et ne voulais pas à me résoudre à arrêter, la fonte du fil devant nos yeux, le contact fait… c’est addictif. À la forme on voit si la soudure est propre ou si on doit la refaire. J’ai souvent dû la refaire, mais toujours avec plaisir.

Il ne reste plus qu’à mettre le clavier dans son boitier et profiter. Une fois branché, on peut configurer les touches afin que celles-ci correspondent à nos envies. La configuration est totale, on peut l’arranger à notre convenance et à volonté via le langage C afin de créer nos propres raccourcis clavier par exemple.

Enfin fini

Après plus de 6h d’assemblage, je peux enfin profiter de mon clavier. Assembler mon clavier est le meilleur choix que je pouvais faire. Il n’est pas le plus économique certes, mais il correspond à ce dont j’avais envie et m’a permis une parfaite modulabilité. On peut dire que c’est un objet de luxe assemblé par ma personne, made in France !

Voir aussi

La curiosité

Fri, 27 Sep 2019 00:00:00 +0000

Compétence précieuse en informatique, c’est ce qui nous pousse à toujours chercher les dernières technologies. On regarde comment les autres font, comment les choses fonctionnent, cela nous permet de nous tenir à jour sur nos compétences techniques et de toujours apprendre.

Au quotidien

Je me forme au fil de mes recherches à toujours découvrir de nouveaux domaines et intérêts. C’est grâce à cela que je m’instruis au quotidien, et cela fait partie de mes atouts. Durant les différents challenge de hacking ou encore de mes projets personnels comme stal-k je me plonge dans des domaines divers et variés.

Quand on est curieux ce n’est pas seulement en informatique. C’est une façon de réfléchir, d’essayer de comprendre comment ce qui nous entoure fonctionne, comment fonctionne la moto que je conduis, comment réparer mon évier. Être curieux de l’autre ou simplement se demander ce que fait mon chat quand il est dehors.

Le retour de bâton

Mais il faut faire attention, on peut facilement s’engouffrer dans des recherches chronophages qui au fur et à mesure n’ont plus rien à voir et qui finissent par influencer notre travail. Il faut trouver le juste équilibre, entre trop et pas assez pour ainsi réussir à avoir le recul pour savoir de quel côté l’on penche.

La curiosité a été et est un atout certain à des moments où je bloquais, elle a fait en sorte de me porter plus loin, de m’accrocher pour me permettre de réussir. Mais au contraire la curiosité a aussi joué à des moments où j’étais endigué dans une idée, elle m’a fait me sentir d’autant plus coincé . J’allais chercher des informations qui n’avaient que peu de rapport en n’ayant pas assez de recul pour m’en rendre compte.

La curiosité, comme la créativité, fait partie de moi. Je ne pourrai pas l’enlever de ma personne et cela pour le mieux. Elle me pousse à toujours chercher plus loin, à agrandir mon cercle de connaissances et à m’ouvrir davantage.

curiosité | Nino Sochet

Pentesting

Les méthodes

Durant alternance

Auourd’hui

Voir aussi

DevSecOps

Quel est son rôle au sein d’un projet ?

En entreprise

Voir aussi

Angular

Angular et moi

La rupture

Voir aussi

cowsay linux

ping -c 1 127.0.0.1

Usage et évolution

Voir aussi

Stal-k

Social mapper

Installation et code review

Stal-k

Ça bloque

V1

Voir aussi

Un clavier ?

Do it yourself

D’accord…

La construction

Enfin fini

Voir aussi

La curiosité

Au quotidien

Le retour de bâton

Voir aussi