Nous avons rencontré un problème technique durant l’enregistrement. L’équipement a cessé de fonctionner, sans que nous nous en rendions compte. Nous avons conservé le segment qui est utilisable.

Ce podcast enregistré lors de NorthSec réunit l’animateur et Martin Dubé pour une discussion nostalgique sur l’évolution de la communauté cybersécurité québécoise, particulièrement autour du Hackfest et de NorthSec.

Martin Dubé raconte ses débuts en 2010 au Hackfest, alors qu’il était étudiant en deuxième année d’université. À cette époque, l’événement était très différent d’aujourd’hui : les organisateurs transportaient des serveurs physiques hébergés chez eux jusqu’à l’hôtel, utilisant des technologies comme Proxmox et VMware. Cette période artisanale contraste fortement avec l’automatisation moderne mise en place par des équipes comme celle de Laurent au NorthSec.

L’innovation majeure de cette époque fut l’introduction du format “attaque-défense” pour les CTF, remplaçant le traditionnel format “jeopardy” (matrice de challenges par catégories). Ce nouveau format permettait aux participants d’attaquer les infrastructures des autres équipes tout en défendant la leur, créant une dynamique plus réaliste et complexe.

Martin souligne l’importance de l’aspect leadership dans son rôle de responsable des CTF. Gérer une équipe de bénévoles non rémunérés lui a enseigné des compétences précieuses en gestion d’équipe, motivation par la reconnaissance et coordination de projets complexes. Cette expérience s’est révélée cruciale pour sa carrière professionnelle, démontrant que l’implication dans la communauté offre bien plus que des compétences techniques.

Il encourage fortement les nouveaux arrivants dans le domaine à s’impliquer dans de tels événements, car cela permet de garnir son CV d’expériences pertinentes et facilite l’entrée sur le marché du travail. Cette recommandation reste valable aujourd’hui, même si le domaine s’est professionnalisé.

Un moment marquant fut la création de la “track Windows” au NorthSec, une innovation que Martin et Stéphan Sigman considèrent comme pionnière. Contrairement aux challenges synthétiques habituels, cette track simulait un véritable environnement d’entreprise avec Active Directory, partages réseau mal configurés, GPO contenant des mots de passe, et autres vulnérabilités typiques des infrastructures corporatives.

Cette approche répondait à une critique importante : les CTF traditionnels développaient des compétences sur des challenges artificiels, tandis que les vrais pentesters doivent attaquer des réseaux d’entreprise réels. La track Windows a forcé les participants à développer des compétences directement applicables au Red Teaming et aux tests d’intrusion internes.

La discussion aborde l’évolution technologique du domaine. Martin observe que la sécurité par défaut s’est considérablement améliorée depuis les années 2010, rendant les vulnérabilités basiques moins fréquentes. L’arrivée de l’intelligence artificielle transforme également le paysage professionnel, mais plutôt comme un assistant qu’un remplaçant pour les pentesteurs.

L’IA automatise certains aspects du travail de sécurité, notamment dans les outils de défense comme Sentinel pour l’analyse de logs. Cependant, Martin et l’animateur s’accordent sur le fait que l’IA reste un multiplicateur de force nécessitant une direction humaine, particulièrement en Red Team et pentest.

Le podcast évoque plusieurs expérimentations marquantes, notamment les CTF avec des maquettes physiques comme le barrage hydroélectrique de 2013, précurseur des préoccupations actuelles sur la sécurité IoT et OT. Ces innovations visuelles permettaient aux non-participants de comprendre concrètement ce qu’était le hacking.

L’expérience la plus mémorable reste les éditions “taupes” : des CTF 12 vs 12 ou 20 vs 20 où certains participants étaient secrètement des espions pour l’équipe adverse, simulant l’espionnage industriel. Ces expérimentations, bien que créatrices de “drama”, démontraient l’importance de prendre des risques calculés pour innover.

Un aspect crucial souligné est la valeur du réseau professionnel créé par ces événements. La communauté cybersécurité québécoise, bien que pas nécessairement composée d’amis proches, forme un réseau où chacun connaît les autres et peut interagir facilement. Cette connectivité s’avère particulièrement précieuse lors des transitions de carrière ou des périodes de recherche d’emploi.

Cette dimension communautaire devient encore plus importante dans le contexte économique actuel, où les restrictions budgétaires entraînent des licenciements même dans le secteur technologique traditionnellement stable.

La conversation aborde la culture du risque et de l’erreur dans la communauté. Martin prône une approche permettant l’expérimentation et l’erreur, créant un “safe space” pour les bénévoles. Il partage un exemple récent où un bénévole a rencontré des difficultés opérationnelles, et comment son expérience lui a permis d’accompagner cette personne pour désamorcer le stress et trouver une solution.

Cette philosophie s’oppose à l’élitisme parfois présent dans la communauté cybersécurité. Les deux interlocuteurs s’accordent sur l’importance de permettre aux nouveaux arrivants de faire des erreurs et d’apprendre, condition essentielle pour éviter la stagnation communautaire et favoriser l’inclusion.

Le podcast se termine sur une note d’humilité, évoquant comment Olivier (probablement le président sortant de NorthSec) a publiquement reconnu avoir peut-être poussé trop fort ses équipes de bénévoles vers la perfection. Cette reconnaissance publique illustre la maturité croissante de la communauté et l’importance de l’équilibre entre excellence et bienveillance.

Martin partage également ses propres “blessures de guerre” professionnelles, ces erreurs passées qui, bien que parfois encore douloureuses, constituent un apprentissage précieux qu’il souhaite transmettre aux générations suivantes.

Ce podcast offre un regard privilégié sur l’évolution de la cybersécurité québécoise, montrant comment l’innovation, la prise de risques calculés et la construction communautaire ont façonné l’écosystème actuel. Il souligne l’importance de maintenir un équilibre entre excellence technique et bienveillance humaine, tout en continuant à expérimenter pour faire évoluer le domaine.

L’expérience de Martin Dubé illustre parfaitement comment l’implication bénévole peut catalyser une carrière professionnelle tout en contribuant significativement au développement d’une communauté technique dynamique et inclusive.