NoLimitSecu

By NoLimitSecuNews Tech News

NoLimitSecu episodes

September 14, 2014 De la gestion des mots de passe et de leur devenir
En matiĂ¨re de gestion des mots de passe, quelles sont les mauvaises et les bonnes pratiques ? Quel est le devenir des mots de passe ? Vos commentaires sur notre page facebook ou sur blogpost
The post De la gestion des mots de passe et de leur devenir appeared first on NoLimitSecu.
22 min
September 06, 2014 The Fappening
Des centaines de photos (intimes) volées et publiées sur internet. Dans cet épisode les questions suivantes seront abordées : quel a été le mode opératoire des cyberdélinquants ? Comment limiter les risques ?
Vos commentaires sur notre page facebook ou sur blogpost
0 min
September 06, 2014 The Fappening
Des centaines de photos (intimes) volĂŠes et publiĂŠes sur internet. Dans cet ĂŠpisode les questions suivantes seront abordĂŠesÂ : quel a ĂŠtĂŠ le mode opĂŠratoire des cyberdĂŠlinquantsÂ ? Comment limiter les risquesÂ ? Vos commentaires sur notre page facebook ou sur blogpost
The post The Fappening appeared first on NoLimitSecu.
12 min
July 21, 2014 De l’évolution du métier de RSSI
Episode boule de cristal : Dans ce format les experts de NolimitSecu se penchent sur un sujet et font leurs prédictions !
Les RSSI doivent faire face à des problématiques de plus en complexes. Dans ce contexte, comment va évoluer ce métier ?

Vos commentaires sur notre page facebook ou sur blogpost
0 min
July 21, 2014 De l’ĂŠvolution du mĂŠtier de RSSI
Episode boule de cristal : Dans ce format les experts de NolimitSecu se penchent sur un sujet et font leurs prĂŠdictionsÂ ! Les RSSI doivent faire face Ă des problĂŠmatiques de plus en complexes. Dans ce contexte, comment va ĂŠvoluer ce mĂŠtier ? Â Â Â Vos commentaires sur notre page facebook ou sur blogpost
The post De lâĂŠvolution du mĂŠtier de RSSI appeared first on NoLimitSecu.
21 min
July 05, 2014 Compte-rendu de la nuit du hack 2014
En préambule, il convient de rappeler qu’un hacker est avant tout une personne douée de compétences qui lui permettent d’améliorer un mécanisme, d’optimiser un processus, de contourner une limitation, etc …
Un hacker n’est donc pas nécessairement un cyber-délinquant comme on a tendance à le croire.
La nuit du hack est un évènement atypique qui permet aux hackers de se retrouver et de partager leurs connaissances.
Nicolas et Jeff ont participé à cet évènement. Dans ce podcast, Ils nous font part de leur retour d’expérience :

0 min
July 05, 2014 Compte-rendu de la nuit du hack 2014
En prĂŠambule, il convient de rappeler quâun hacker est avant tout une personne douĂŠe de compĂŠtences qui lui permettent dâamĂŠliorer un mĂŠcanisme, dâoptimiser un processus, de contourner une limitation, etc âŚ Un hacker nâest donc pas nĂŠcessairement un cyber-dĂŠlinquant comme on a tendance Ă le croire. La nuit du hack est un ĂŠvĂ¨nement atypique qui [âŚ]
The post Compte-rendu de la nuit du hack 2014 appeared first on NoLimitSecu.
30 min
June 20, 2014 Compte-rendu de SSTIC 2014
Comme chaque année depuis 2003, la conférence SSTIC vient de se terminer à Rennes.
Cette édition s’inscrit dans la continuité des précédentes, avec toujours un contenu technique de très haute qualité. Cette année apporte également son lot de nouveautés:

* Les actes au format ePub (en plus du traditionnel PDF).
* Le streaming en direct de la conférence. On peut espérer que les vidéos seront prochainement disponibles en ligne, car elles ont été archivées !

Difficile de résumer 3 jours de conférence et d’échanges informels (probablement la partie la plus dense de l’évènement !) en quelques lignes. D’autant que cette année, toutes les conférences étaient globalement très opérationnelles et pédagogiques, avec du contenu exclusif (ce qui est plutôt rare dans les conférences de sécurité).
Windows et Active Directory sous les feux de la rampe
Active Directory a incontestablement dominé la première matinée, avec la présentation croisée de deux outils d’investigation Open Source: BTA (développé par Airbus Group Innovations – ex. EADS Innovation Works) et un outil de l’ANSSI qui sera prochainement disponible.
Le premier outil permet de scripter en Python la recherche de backdoors “connues” (comme les modifications de l’objet AdminSDHolder présentées l’année dernière à SSTIC). C’est une sorte de Sysinternals Autoruns de l’Active Directory – il extrait l’information utile mais ne dispense pas d’une analyse humaine.
Le deuxième outil permet d’établir les chemins implicites permettant d’arriver à un objet donné (en général un compte Admin de Domaine). Il est facile de vérifier “à la main” si un compte est membre du groupe “Admins du Domaine”. Par contre comment identifier un compte qui peut modifier une GPO appliquée au poste de travail d’un administrateur de domaine ? Voire des scénarios plus compliqués ?
Ces deux outils sont parfaitement complémentaires l’un de l’autre. De plus ils fonctionnent “offline” sur une copie de la base Active Directory, donc sans impact sur la production.
Kerberos is dead, baby
Une présentation d’Aurélien Bordes sur l’implémentation Kerberos de Microsoft a fini d’achever la première matinée. Le rôle de 3 comptes Windows bien souvent délaissés par les pentesters a été explicité:

* Le mot de passe du compte “krbtgt” est le secret principal du domaine ; il permet de falsifier un TGT (Ticket Granting Ticket) et donc de créer des tickets de service pour n’importe quelle ressource avec n’importe quel droit. Pas de chance: ce mot de passe ne change jamais !
* Le mot de passe du compte machine (de la forme “MACHINE$”) permet de falsifier un ticket de service valable sur cette machine sous n’importe quelle identité avec n’importe quel droit.
* Le mot de passe permettant d’établir les relations d’approbation inter-domaines (de la forme “DOMAINE$” permet également de falsifier des tickets pour le domaine cible.

Les conclusions sont sans appel:

* La frontière de sécurité est la forêt, pas le domaine.
* En cas de compromission, il est nécessaire de changer tous les mots de passe deux fois. Y compris le compte “krbtgt” et tous les comptes machines. Bon courage !

0 min
June 20, 2014 Compte-rendu de SSTIC 2014
Comme chaque annĂŠe depuis 2003, la confĂŠrence SSTIC vient de se terminer Ă Rennes. Cette ĂŠdition sâinscrit dans la continuitĂŠ des prĂŠcĂŠdentes, avec toujours un contenu technique de trĂ¨s haute qualitĂŠ. Cette annĂŠe apporte ĂŠgalement son lot de nouveautĂŠs: Les actes au format ePub (en plus du traditionnel PDF). Le streaming en direct de la [âŚ]
The post Compte-rendu de SSTIC 2014 appeared first on NoLimitSecu.
20 min
April 10, 2014 HeartBleed
Dans cet épisode les experts de NoLimitSecu se penchent sur HeartBleed : la vulnérabilité qui fait trembler internet
Vos commentaires sur notre page facebook ou sur blogpost
0 min