Dans la mesure où c'était ma première visite à Hong Kong, j'en ai profité pour poser des congés et aller me ballader. Outre les différentes îles qui constituent Hong Kong, j'ai pu aller visiter Macao, à une heure de bateau. Cet ancien protectorat portugais se visite rapidement, dans la mesure où le seul quartier digne d'intérêt, la vieille ville, est suffisamment petit pour se faire à pied en quelques heures. Pour le reste, si vous aimez les casinos, peut-être y resterez-vous plus longtemps, en ce qu'ils constituent manifestement l'attraction principale du coin. Des copies de ceux de Las Vegas s'y installent les uns après les autres, parfois en plus grand...


Jeudi 29 mai 2008 - Jour 1

La conférence s'ouvre par une rapide allocution de Thomas Lim, l'organisateur, qui nous relate rapidement ses déboires avec son (ex-)partenaire local, expliquant au passage le faible nombre de personnes dans la salle. C'est vrai qu'avec une quinzaine de participants, l'ambiance est plutôt feutrée... Ce qui s'est révèlé loin d'être déplaisant en définitive...

Notez que les présentations ne sont officiellement pas en ligne. Mais certains participants ne pouvant pas s'empêcher de publier tout ce qui leur passe entre les mains, vous pouvez les trouver en ligne...

  • Immersed Network Discovery and Attacks par Philippe Langlois, TSTF. La présentation porte sur les enseignements tirés de tests d'intrusion sur les infrastructures d'opérateurs de télécommunications et la présentation d'un outil développé à ces fins, Barung[1]. L'ensemble du talk s'appuie sur l'outil et essaye de montrer le bordel que peut être un réseau de ce genre. Enrichissant.
  • Real World Kernel Pool Exploitation[2] par Kostya Kortchinsky, Immunity. C'est toujours un plaisir d'assister à un talk de Kostya : ça a beau être technique, il a un don pour rendre ce qu'il raconte accessible. Cette fois, il nous parle d'exploitation de failles noyau sous Windows, en s'appuyant principalement sur l'exemple de MS08-001. J'ai bien aimé la partie sur les coûts de réalisation comparés d'un exploit stable. Les adeptes de la plate-forme trouvenront pas mal d'informations sur la structure du pool, ses algorithmes d'allocation et de libération et enfin leur exploitation. En conclusion, c'est fun, mais ça prend du temps. Genre il travaille encore sur la stabilisation de MS08-001...
  • Cyber Crimes, Follow the Money par Pedro Bueno, McAfee Avert Labs. La présentation porte sur le sujet ô combien chaud du cyberterrorisme. Ce que développe le speaker, ce n'est pas l'idée communément répandue que des terroristes vont se lancer à l'assaut d'Internet, mais plutôt qu'ils l'utilisent comme plate-forme pour générer des revenus, lesquels serviront ensuite à financer les activités grandeur nature, si je puis m'exprimer ainsi. On va nous parler de vol d'identité, de phishing kits, de bankers, de blanchiement d'argent, de botnets, etc. C'est carrément intéressant. Je vous conseille les slides, comme piqure de rappel sur la criminalité en ligne et son niveau d'organisation.
  • The Powerful EVIL on Mobile Phone par Nanika, COSEINC. Dur. Talk entièrement en chinois... Argh... Seule la lecture des slides apportera quelque chose. La présentation est centrée sur Windows Mobile et comment on peut jouer avec : backdoors, failles, écriture d'exploits, virus et rootkits. Windows Mobile n'est clairement pas mon domaine, je ne peux donc pas juger de la pertinence des informations trouvées dans les slides. Je laisse juger les spécialistes. Quelques références en dernière planche.
  • Web Security Mistakes par Kurt Grutzmacher, Pacific Gas & Electric. J'avais dit que je boycotterai tous les talks sur la sécurité web. J'ai bien fait de faire un exception. Non que la présentation ait pu être exceptionnellement bonne, juste quelques passages intéressants. Globalement, c'est toujours le même discours : il ne faut pas faire confiance au client. Depuis le temps qu'on le rabache, ça devrait commencer à rentrer... Ou pas... Les exemples changent, mais l'idée reste la même. Ici, on va parler d'injection de code, de JavaScripts plus ou moins obfusqués, de clients riches, etc. Le passage sur les logiques débiles est sympa, en particulier l'exemple on ne peut plus intéressant des passes prioritaires pour la MacWorld Expo 2008 et la manière dont il casse le truc. Ou comment réduire un cassage de MD5 à un bruteforce de 6 lettres... Bienvenue au pays de Candy... La fin sur le SSO web en NTLM et son utilisation avec des outils type PassTheHash est à voir.


Vendredi 30 mai 2008 - Jour 2

  • RFIDIOts!!! Hacking RFID Without A Soldering Iron par Adam Laurie. Présentation classique sur les RFIDs, avec quelques ajouts, en particulier la manipulation de nouveaux tags, nettement plus petits qu'avant, et un passage sur les vulnérabilités de cartes de crédit EMV sans contact, comme par exemple les nouvelles American Express aux US[3], et l'outil qui va avec. On notera aussi une introduction fort bien ficelée sur le hacking en général, avec quelques passages drôles sur les systèmes TV et les coffre-forts d'hôtel. Du Adam Laurie, c'est à dire rien de techniquement renversant, mais un bon speech bien argumenté.
  • Attacking Antivirus par Feng Xue, Nevis Networks. L'orateur a manifestement passé du temps à secourer les logiciels antivirus. On peut rapprocher ce talk de celui présenté à Hack.lu puis à Cansecwest, mais il n'en est rien. Alors que ce dernier s'intéresse surtout au contournement de l'outil, cette présentation ne porte que sur les vulnérabilités et de manière plus systématique à mon goût. Je vous laisse lire les slides, c'est assez parlant. On remarquera au passage que les quatre démos...
  • Modern Anti-Forensics par The Grugq, Tactical VoIP. Il reprend des éléments qu'il a déjà mis en avant auparavant. Ce n'est pas comme s'il avait déjà couvert le sujet vers 2002-2003. Les points intéressants sont à mon avis le passage sur les processes de forensics desquels découlent les objectifs à atteindre pour dissimuler des données. Il va donc couvrir l'effacement de données, la minimisation des traces, avec son outil hash présenté plus en détails à Bellua. Clin d'œil rapide genre c'est fou ce qu'on peut faire avec ce truc avec la backdoor en awk. Enfin, la dissimulation de données par exploitation de structures diverses et variées : techniques sur les systèmes de fichiers, format OLE, fichiers d'application genre bases de données, etc. Si vous avez la patience de lire les slides, vous pourrez également découvrir l'humour très particulier du speaker, à prendre au 4e, voire 5e degré. Pleins d'idées à explorer.
  • Media Security in VoIP Systems par Shao Weidong. Pleins de choses déjà connues sur la sécurité VoIP. Vous pouvez retrouver l'essentiel des informations, en français, dans le talk de Nicolas Dubée au SSTIC 2007. Outre la même impression que la VoIP est un sacré merdier auquel un bon coup d'applanissement du réseau devrait mettre un coup de balai, tous les exemples, ou presque, ont été motivé par le besoin de construire quelque chose sans PKI. Parce que c'est compliqué une PKI. Bien que je ne doute pas de cette dernière affirmation, je me demande quand même si on ne ferait pas mieux de mettre son énergie à déployer une PKI correcte, plutôt qu'à se prendre le choix à développer des algorithmes à coucher dehors, dont la plupart se révèlent pas terribles, et n'avoir toujours rien à se mettre sous la dent au final. Idem pour IPSEC qui est pas bien et qu'il faut utiliser TLS à la place... Le discours m'a fait penser à ce que j'entendais des avant-vente Cisco dans une vie précédente... Des informations intéressantes tout de même dans les slides.
  • Rambling on the Private Data Security par Sun Bing. Toujours autant de mal à suivre ses présentations qui manquent singulièrement de rythme. Mais bon, c'était vachement mieux qu'à Cansec... Sun nous parle de protection de données, privées de préférence, en plusieurs points. Le verrouillage des disques durs par mot de passe d'abord, également couvert au SSTIC, avec quelques tables intéressantes, puis le chiffrement de volume avec une comparaison d'EFS et BitLocker. Ensuite viendront quelques slides sur les TPM, suivi de près par les outils de protection de contenu, comprendre les DRM pour documents, ainsi que des outils de préservation de disque. Un panorama sympathique avec des informations pas inutiles.


Au final, une conférence de très bon niveau dans le pur esprit Syscan. Rien à regretter, si ce n'est ce talk un peu léger sur la VoIP.

Côté tourisme, j'ai bien aimé Hong Kong que je me prends à préférer à Singapour par son côté moins propre, voire moins clinique. C'est vivant et ça se sent. Pour ceux que ça intéresse, les photos sont en ligne.

Notes

[1] Qui n'est apparemment pas encore disponible en ligne...

[2] Également disponible chez Immunity.

[3] Regardez bien sur la carte de droite, le coin en haut à gauche...