Embedded à Cansecwest 2013

Par Véronique Loquet, secuobs.com
Le 12/04/2013

---

Résumé : Cansecwest est l'une des conférences favorites de l'upperground des hackers. Sise en Colombie-Britannique, la plus occidentale des provinces canadiennes, c’est également lors de cette conférence qu’a lieu la célèbre compétition Pwn2Own. Une chronique « embedded » par Véronique Loquet. - Lire l'article



C’est l’une des conférences fétiches des spécialistes de la sécurité informatique. Chaque mois de mars, alors que Montréal grelotte encore sous la neige, Vancouver, sous une température plus clémente, est le théâtre d’un des rassemblements les plus prisés du monde du hacking.

Ils viennent d’Europe, d’Asie, d’Afrique pour participer à leur Davos à eux : non pas une réunion de financiers dirigeant le monde, mais un meeting de spécialistes en sécurité de haut vol venant partager leurs faits d’armes. Et tout de même, comme à Davos, ils viennent participer à un must pour les fans de poudreuse : Rider à Whistler.

Accoudés au bar du Sheraton Vancouver, entre muffins et ketchup, les premiers arrivés attendent le début des hostilités -autrement dit, l’ouverture de la conférence. Parmi eux, Chaouki Bekrar, CEO de VUPEN, son verre d’eau minérale rempli de glace à ras-bord. Discret et prêt à être à nouveau couronné pour ses exploits (et ceux de son équipe).

En marge des talks, CanSecWest abrite en effet la compétition de hacking Pwn2own, organisée par ZDI. Zero Day Initiative offre cette année plus d'un demi-million de dollars en cash et en prix.
Les règles du jeu sont claires, les vulnérabilités utilisées dans ses attaques doivent être nouvelles et les techniques utilisées doivent être révélées aux développeurs de l’application pour que celle-ci puisse être corrigée. Cette année la team Vupen s'attaque donc a différents poids lourds du Web : IE 10 sur Windows 8, Mozilla Firefox, Oracle Java et Adobe Flash…

Remportant la coquette somme de 250 000 dollars pour cette édition, Chaouki Bekrar souligne cependant la qualité et la robustesse de ces différentes plates-formes, qui se renforcent de plus en plus. Il remportera également au passage les Teddy Smith de la compétition et quatre Laptop flambants neufs. De quoi frimer à Montpellier... mais ce n'est pas leur genre.

La plupart des éditeurs attachant de plus en plus d’importance à la sécurité de leurs plate-forme, la recherche et l’exploitation de vulnérabilités est un processus de plus en plus long.

En effet, la préparation de ce concours a mobilisé les équipes de Vupen plusieurs mois durant, pour d'une part, rechercher les vulnérabilités, et d'autre part écrire les exploits. La tâche n'est pas aisée mais faut être conscient qu'il n'existe pas de citadelle imprenable. « Nous avions exploité Safari sous Mac OS X il y a deux ans puis nous avons été les premiers à faire tomber Chrome et IE9 sous Windows 7 l’an dernier. Nous voulions être les premiers à faire tomber Windows 8 et IE 10 cette année.» explique Bekrar. Il ajoute cependant que Windows 8, Firefox et Adobe Flash sont de mieux en mieux sécurisés, nécessitant l’emploi et la combinaison de plusieurs techniques élaborées.

La démarche de ZDI à l’avantage de faire comprendre l’importance des mises à jour par une démonstration pratique. Cela fonctionne, et Mozilla publiera un patch pour combler le 0day dans un délai record de 24 heures. Les failles ne sont bien sûr pas révélées au grand jour afin d'éviter les exploits des black hat et laisser le temps aux éditeurs d'apporter leurs correctifs.

Du côté des conférences, la scène tend le micro à quelques pointures. La keynote revient à Peiter « Mudge » Zatko de la DARPA. Suivra Stefan Esser, iOS6.1- exploitation 280 Days later... Peter Vreugdenhil présente when the broker is broken, Joshua J. Drake, an Android hacker's journey. Le jeune indien Rahul Sasi, très attendu, ne convaincra pas vraiment l'audience malgré un titre alléchant : SMS to Meterpreter, fuzzing USB Modems. Il n'a que quatre années d'expérience, il est sans doute très prometteur, mais il doit encore faire ses preuves. Vladimir Katalov s'engage sur le terrain du cracking and analyzing Apple iCloud backups, find my iPhone, document storage... et Rob Beck s'interroge, MS SQL post exploitation shenanigans : you are in, now what? Pour terminer, la timide Julia Wolf analysera Windows kernel vulnerability; from espionage to criminal use. Les conférences s'enchaînent face à un auditoire technique et passionné.

Heureusement le Shiastu massage village est là pour vous décontracter les neurones. Avant de partir à la recherche du Japadog, le fameux hot dog vendu au stand du coin de la rue devenu populaire depuis les Jeux Olympiques... Et puis évidemment les soirées se succèdent pour retrouver amis et experts. Dégustation de vins pour les uns, suites privatisées pour d'autres. Facebook Corp. rassemble un comité restreint sur un bateau, qui ne reviendra à quai que tard dans la nuit après avoir vogué sous les ponts de la baie. Le temps d’échanges fructueux avec l'équipe de REcon, les Cisco, Google et bien d'autres. La master party, celle qui fédère tous les hackers, se tient le jeudi. Bring the noise ! Winter is coming avec la mythique soirée Tronapalooza III concoctée par Dragos Ruiu, le maître des lieux. Une recette imparable pour divertir le geek : jeux videos en accès libre sur deux étages, open bar et DJs live.

Adeptes des afterwork et de la grub culture, il vous faudra attendre encore les sessions de lightning talks pour démarrer les festivités. Le sémillant Sébastien Tricaud, ex co-fondateur de Picviz désormais établi aux Etats-Unis chez Splunk, en est l'unique candidat. Entre deux Gong il explique, cinq minutes montre en main avec un sens inné de la dérision, que nous vivons décidément dans un monde full of weirdos. Cette présentation éclair n’a pourtant pas évoqué le coup de théâtre de Beppe Grillo qui venait de remporter les élections italiennes. Place à la fête ! Oh Good Lord ça ne se fait pas ! Certains sont arrivés à moitié ivres, gomina, shots de tequila et lancer de glaçon. Désormais il est l'heure pour tous de lever les pintes du houblon local, Whistler Whiskey Jack Ale. I feel Canadian !

Bien plus tard, une partie des participants longent les fjords du Pacifique pour atteindre, à 125 km au Nord de Vancouver, les cimes enneigées de Whistler. Ride, BBQ et hot tub dans un pur esprit SVC. L'organisation de Cansec est pro, très pro, il ne manque rien. La légendaire hospitalité de Dragos et Yuriko se confirme : à Cansec, c'est du techniquement sérieux et plus tard, we take fun seriously!

La conférence Cansecwest: http://cansecwest.com/