ZadYree's blog

Bel event, que nous ont préparé les copains de chez HZV/Sysdream cette année! Malgré une ambiance moins “Offshore” mais plus “DefCon” chez Picsou, des conférences de haut voltige – Hacking girls, Reinventing old school security, Hacking android, etc. – nous furent offertes, pour notre plus grand plaisir.

J’ai par ailleurs eu le plaisir de faire la connaissance de gens formidables sur place. La nature des meets et l’échange d’informations issues de la recherche est un sujet qui m’intéresse au plus haut point, et je pense y revenir dans un prochain article.

Revenons-en à nos moutons en rappelant pour les profanes que ce type de conférence ne doit pas être imaginé comme une antichambre du mal réunissant les plus grands génies du crime, délinquants informatiques insolents ou autres mafieux gourmands de vos numéros de carte bleue. Ces congrès sont en fait prisés par:

• Des professionnels de la sécurité des systèmes d’information.
• Des étudiants en disciplines diverses liées à l’informatique.
• Des passionnés du hacking.

Ces derniers n’étant pas les “geeks” boutonneux et un tantinet sociopathes que nous avons l’habitude de voir à la télé.

Bref, tout ceci pour démystifier ce qu’il se passe durant ces conventions. La question que se posent tous ces “experts” de l’information étant “Mais pourquoi diable tous ces pirates s’acharnent-t-ils à s’attaquer à des systèmes que d’honnêtes travailleurs prolétaires ont créé, à la sueur de leur front?”. Raisonnement tout à fait caractéristique des chefs de projet, services juridiques, et autres directeurs techniques dont le seul embarras est l’éviction immédiate d’un éventuel manque à gagner, ou dans le meilleur des cas, la maximisation des gains. Eh bien, la réponse est assez marante et nous fait réaliser à quel point le l’aspect économique peut changer la manière de constater un fait, d’un point de vue pratique et juridique.

En effet, si l’on fait abstraction du manque à gagner ou de tout dommage financier, on imagine facilement ce métier utopique que serait le pentesting, un disclosure bien complet pendant les conférences, et une rapidité d’évolution des systèmes de sécurité exponentielle. Un plaisir pour tous les amoureux du poutrage de sécurité!

Oui mais voila, il n’en est pas ainsi! On se retrouve donc toujours avec une liberté d’expression réduite dans une discipline où il faut faire abstraction de toute contrainte de recherche. Certains pourraient faire remarquer qu’il suffit de ne pas s’attaquer à une personne ou à un groupe, et de se concentrer sur le détail d’un sujet d’un point de vue strictement technique; oui mais la question du contenu et de la pertinence des recherches se pose, une conférence se devant d’être le fruit d’une recherche avancée et rigoureuse, et le hacking ne prenant pas en compte les considération relevant du financier.

L’avenir de ce genre de manifestations est-il en danger? Voir l’effet Black Hat/DefCon: Ces conférences sont désormais l’apanage des grandes entreprises et semblent avoir comme but de faire la promotion de quelques individus, dans un cadre strictement professionnel et non plus dans un but de challenge intellectuel. Je pense sur ce sujet que lorsque nos rassemblements actuels seront trop institutionnalisés, d’autres, plus underground, naîtront.

La bonne attitude serait donc pour le public et les conférenciers de se fier non pas à la réputation d’un event, mais à son contenu, ce qui aurait pour conséquence globale d’empêcher cette institutionnalisation. Ne rêvons pas trop tout de même, d’autant plus que tous ces événements sont fort sympathiques en soi.

Pour en revenir à la Nuit du Hack 2011, voila un petit timeline de ce que j’ai pu voir:

• Arrivée sur place  et validation des places; grosse déconnade avec les amis de la 3LRVS (“Euh les mecs, c’est par ici Space Mountain?” “Bon dieu, marche droit et ignore Dingo, c’est un cousin à Pedobear!”).
• Entrée & WTFage à la vue de la taille de la salle (≈ CMB) et rencontre du staff et de gens bien sympatiques (Mandarine, Virtu, CrashFR, etc.).
• Prez de Virtualabs sur les faiblesses et les avantages d’Android pour honnêtes citoyens prévenus.
• Présentation de notre part sur une vulnérabilité présente dans les équipements d’un fournisseur d’accès. Assez stressant si on considère le coté politique vis à vis de la dangerosité du problème découvert. Personnellement je pense ne pas avoir été au top, mais ça viendra j’espère (slidez: Crawling-ISP)
• Interview par l’excellente journaliste Hélène Chevalier. Toujours rassurant d’avoir l’opportunité d’avoir la parole pour faire comprendre aux auditeurs que les hackers et les Anonymous sont deux choses très différentes.
• LE McDo de la NDH, ou comment être un salaud envers de pauvres étudiants en galère de thune à disney!:

-Bonjour, je suis chargée de prendre votre menu pendant votre attente!
-OMGWTF une hôtesse de queue!
-Vous commanderez un menu?
-Ouais, un magret de canard, cuisson bleue. Si vous avez un rouge qui tient la route, allez-y. Sinon, de l’eau, et dans un verre.
-Euh non on n’a pas tout ça monsieur
-[...] <—- Commande réelle
-c’est noté, tenez votre numéro!
-Euh par contre, j’ai vu les plateaux et j’ai comme l’impression que vos collègues oublient les couverts et le pain…
-Pardon?
-OK.

• … Ainsi s’achève la prez “Hacking girls”! Tonnerre de tous les enfers, what the fuck de diantre! Tampipournoo!
• Rencontre du pilote Mr Sterling, un collègue fort sympa admirateur de culture 0ldskewl. J’en parle, car en fait cette rencontre a duré plusieurs heures ^^
• Je laisserai le reste jusqu’à l’open bar aux autres comptes-rendu, ce moment ayant été détaillé sur pas mal de blogs, et surtout au vu de ma flemmardise à relater des heures d’attente au CTF, qui m’ont tout de même permis de faire la connaissance de plusieurs teams dont je ne connaissais que le nom.
• Ah, l’open bar! Ô bénédiction! Ô délices! Un grand moment, dont Blanche-Neige, la Belle au Bois dormant et nos deux autres princesses n’ont pu profiter (ils se reconnaîtront, les salauds ^^). Au programme, bière & champagne, auxquels j’ai unanimement fait honneur. J’ai pu discuter avec deux étudiants IngéSup très intéressants et leur souhaite toute la réussite possible (évitez les sentiers battus, méfiez-vous du “droit” chemin).
• Et c’est le moment de s’en aller, avec tous les membres restants de l’équipe HZV, qui se recueille auprès de ce qu’il reste du charnier signé Maitre Kanter. Mais n’ayez crainte, même forts de cette résolution, nous n’étions pas encore sortis du fameux New-York Hotel. L’heure était à l’apprentissage: Eh oui Corbier, c’est fou combien il y a d’active directories pour une seule standardiste de chez Mickey! Puis vint la grande question: La femme de l’accueil a-t-elle des bières à vendre?
• L’histoire se termine pour moi quand toute l’équipe me raccompagne ainsi que Death-Angel à la gare (Quelle idée de foutre une gare dans un endroit pareil!?) mais d’anciennes légendes murmurent que les plus courageux partirent quérir de l’essence de houblon coté gare de Lyon.

À la prochaine pour un nouvel article (“Finding pesos for fun and tacos”).