--- title: "Visite d'une conférence internationale de hackers" date: 2019-09-27 language: fr topics: ["Amsterdam", "Nintendo", "cyber-security", "data", "hacking", "people", "work"] source_url: https://willem.com/fr/2019-09-27_visite-d-une-conference-internationale-de-hackers/ --- # Visite d'une conférence internationale de hackers *OWASP Global AppSec Amsterdam* > Ce mois-ci, j'ai eu la chance d'assister à Global AppSec Amsterdam, une conférence internationale pour hackers et spécialistes de la sécurité. Il y avait des présentations d'anciens agents du renseignement, de chasseurs de primes, d'universitaires et d'éditeurs de logiciels. J'ai découvert certaines des techniques de piratage les plus récentes, rencontré des gens intéressants et joué à de super jeux rétro. Lis la suite pour en savoir plus. ## La fondation OWASP et Global AppSec Amsterdam La fondation OWASP est une organisation à but non lucratif qui crée des outils, de la documentation, des forums et des conférences autour de la sécurité des logiciels. OWASP est spéciale parce qu'elle est libre de toute pression commerciale et n'est affiliée à aucune entreprise technologique. Elle défend l'idée d'aborder la sécurité des applications comme un problème de personnes, de processus et de technologie, car les approches les plus efficaces de la sécurité des applications améliorent tous ces domaines. Tu en apprendras plus sur OWASP sur https://www.owasp.org. Les événements Global AppSec sont organisés partout dans le monde. En septembre, il y en avait un dans ma ville natale, Amsterdam. Consulte leur_programme (https://www.owasp.org/index.php/OWASP_Events/upcoming_events) pour savoir si OWASP passe près de chez toi. ![Global AppSec-Amsterdam](https://willem.com/global/images/403811a3464b.webp) ## Quand la cybersécurité devient réelle : écraser les terroristes L'une des histoires les plus impressionnantes a été racontée par Chris_Kubecka (https://en.wikipedia.org/wiki/Chris_Kubecka), une femme qui a travaillé pour l'US Air Force et pour le Commandement spatial des États-Unis. Elle est chercheuse en sécurité informatique et spécialiste de la cyberguerre. ![Keynote de la spécialiste de la cyberguerre Chris Kubecka](https://willem.com/global/images/8d317a6e37bb.webp) Elle parle de son travail à l'ambassade royale d'Arabie saoudite à La Haye. C'est passionnant de découvrir comment la police locale, le corps diplomatique et des agents spéciaux se sont mobilisés pour finalement empêcher un attentat à la bombe contre le Kurhaus_de_Scheveningen (https://en.wikipedia.org/wiki/Kurhaus_(Scheveningen). C'est en entendant ce genre d'histoires qu'on réalise que tout ce qui se passe ne fait pas les actualités ! ![Les leçons tirées de la lutte contre les terroristes](https://willem.com/global/images/ad3f0bba8321.webp) ## Café et jeux Après la keynote sur les terroristes, la cyberguerre et les attentats à la bombe, il était temps de prendre un café et de jouer. Jouer à des jeux rétro est une manière sympa de rencontrer d'autres hackers pendant la conférence, car tu as tout de suite un sujet en commun. C'est utile, car la plupart des experts IT ont besoin d'un petit coup de main pour briser la glace quand il s'agit de socialiser... ![Café et PONG sur la console de jeu vidéo avec écran CRT](https://willem.com/global/images/86cc76d31a28.webp) ![DuckHunt avec un pistolet Nintendo d'origine](https://willem.com/global/images/3ebd793dd0c1.webp) ![Tu te souviens de l'époque où c'était un ordinateur ordinaire ? Note le clavier IBM modèle M... oh là là !](https://willem.com/global/images/5ac85970a721.webp) ## Techniques de piratage Après le café, il y avait plusieurs sessions au choix. J'en ai sélectionné quelques-unes selon mes intérêts personnels et mon travail. ### XSS persistant côté client L'une des conférences que j'ai suivies portait sur l'attaque de sites web via le Local Storage ou les cookies. Judicieusement intitulée « Don't trust the locals », la présentation de Marius_Steffens (https://cispa.saarland/people/marius.steffens/) et Ben_Stock (https://cispa.saarland/people/ben.stock/) était très intéressante. Leur recherche universitaire a révélé que de nombreux sites web sont vulnérables à des menaces qui s'installent durablement ! ![Le XSS persistant côté client est une vraie menace, par Marius Steffens et Ben Stock](https://willem.com/global/images/f7a3c90be9d0.webp) ### Pirater PayPal avec une attaque de désynchronisation HTTP Dans sa brillante présentation, James_Kettle (https://portswigger.net/research/http-desync-attacks-request-smuggling-reborn) décrit ses recherches sur ce qui est peut-être l'une des techniques de piratage les plus dangereuses du web moderne : le HTTP_Request_Smuggling_par_désynchronisation_de_requêtes_HTTP (https://portswigger.net/research/http-desync-attacks-request-smuggling-reborn). Cette technique exploite des failles quand un site web utilise un réseau de diffusion de contenu (CDN), un cache web ou un pare-feu d'application web (WAF). C'est fascinant d'en apprendre plus, de comprendre le principe sous-jacent et de découvrir comment se défendre contre ce genre d'attaque. ![James Kettle sur le piratage de PayPal : 38 900 $ de primes gagnées](https://willem.com/global/images/aa04e0114bcd.webp) ### L'économie du piratage : combien vaut un compte piraté ? Dans une autre présentation intéressante, Jarrod_Overson (https://jarrodoverson.com) explique l'état des attaques_par_bourrage_d'identifiants (https://jarrodoverson.com/post/no-2fa-does-not-stop-credential-stuffing-attacks-79de7476a80a/). Ce type d'attaque consiste à utiliser des noms de compte et des mots de passe divulgués sur différents sites web, ce qui marche étonnamment bien, car beaucoup de gens utilisent le même mot de passe sur plusieurs sites. Il explique comment_contourner_les_CAPTCHAS (https://jarrodoverson.com/post/bypassing-captchas-with-headless-chrome-93f294518337/) et comment les hackers font imiter à leurs logiciels malveillants un comportement humain pour frauder. Sa conclusion : la fraude est un problème humain, pas technique, guidé par une économie toute simple : ça vaut le coup de pirater ! ![Pirater les rendements : entre 100% au plus bas et 150 000% au plus haut ! (Par Jarrod Overson)](https://willem.com/global/images/3c11c554de6f.webp) ### L'état d'esprit du hacker Dans sa présentation, Gergö_Turcsányi (https://twitter.com/gergoturcsanyi?lang=en) raconte comment il est devenu chasseur de primes. Il explique qu'il n'est pas nécessaire d'être un mathématicien incroyablement doué pour ça : il suffit d'un peu de créativité et de temps pour fouiller. Au final, cela l'a mené à pirater Google avec succès ! ![Pirater Google : comment j'aurais pu voler tes photos sur Google (Gergö Turcsányi)](https://willem.com/global/images/d039827bdd65.webp) ## Conclusion Visiter Global AppSec était fantastique ! C'est un privilège de rencontrer d'autres hackers, d'apprendre d'eux et d'entendre des choses qu'on ne voit normalement pas aux actualités. Quoi que tu retiennes d'une conférence, il y aura toujours quelque chose que tu ne t'attendais pas à apprendre. C'est cet apprentissage inattendu qui rend les conférences si utiles ! ![Global AppSec Amsterdam](https://willem.com/global/images/1053cb217048.webp)