Categories: Cloud

Chronique sécurité IT : « La sécurité par la simplicité », par Renaud Bidou

Lorsqu’un expert en « reverse engineering » vous explique que les diverses protections mise en place dans les dernières versions de Windows rendent les vulnérabilités particulièrement pénibles à exploiter, il apparait un instant que la partie est sur le point d’être gagnée.

Quand le même expert enchaine en vantant la simplicité, l’efficacité et la « portabilité » des attaques sur les applications Web vous dites qu’il y a quelque chose qui cloche.

Et pourtant …

Quelles attaques défraient la chronique ces derniers temps ? Des dénis de service applicatifs, des vols de données via injections SQL, des infiltrations grâce à des connivences internes et l’exfiltration de données critiques par simple téléchargement.

Ce sont des techniques simples, parfois triviales, décrites dans les plus élémentaires des tutoriaux. Et pourtant des techniques à même de contourner les systèmes protégeant des infrastructures parfois critiques, pourvu que l’on sache ce que l’on fait.

Certes il serait maladroit et dangereux de nier l’existence de techniques d’intrusion bien plus évoluées, permettant de casser certains mécanismes de chiffrements, de créer des backdoors directement au niveau hardware ou de propager des codes JavaScript polymorphes.

Mais quand j’écris à partir de code récupéré sur Internet un keylogger « indétectable » par un anti-virus, je me dis qu’il serait raisonnable de commencer par le début.

Compétence, efficacité et simplicité. Un triptyque impitoyable s’il se trouve entre des mains appropriées.

Compétence, efficacité et simplicité ; comme cette injection SQL qui crée une backdoor sur le système cible : 1 UNION SELECT « <?system($_REQUEST[‘cmd’]);?> » INTO OUTFILE « /htdocs/c.php » /*

Une vulnérabilité logée dans un quelconque module dont le code a été récupéré sur Internet et un attaquant pertinent pour un drame en une ligne.

Page: 1 2

Recent Posts

Digital Workplace : comment l’IA Générative s’installe dans l’environnement de travail

L’IA générative excelle dans plusieurs cas d’usage, notamment dans l’analyse, la recherche et la synthèse…

4 jours ago

PC Copilot+ : avec Arm ou x86 ?

Trop tôt pour envisager d'acquérir un PC Copilot+ ? Les roadmaps d'Intel et d'AMD peuvent…

3 semaines ago

Copilot+ : une sélection de PC convertibles

Dévoilés lors du CES 2025, les PC Copilot+ au format convertible restent encore limitée dans…

1 mois ago

Avec Gemini intégré à Google Workspace, les prix s’envolent

Les fonctionnalités de Gemini sont intégrées dans la suite bureautique Google Workspace. Conséquence : les…

1 mois ago

PC Copilot+ : c’est parti pour la transformation du parc

Au CES 2025, les principaux constructeurs ont annoncé l'arrivée des ordinateurs de bureau dotés de…

2 mois ago

PC Copilot+ : une porte d’entrée vers l’ IA locale ?

Equipés de NPU, les PC Copilot+ peuvent déployer des LLM en local. Un argument suffisant…

3 mois ago