Blackhat 2010 : ce qu'il s'est passé le premier jour
La première journée de BlackHat US 2010 tient ses promesses: riche et surprenante.
Mercredi 28 juillet avait lieu la première journée de conférences de Blackhat 2010 à Las Vegas.
Une première journée chargée et au cours de laquelle il a été difficile d'assister à l'ensemble des conférences qui paraissaient dignes d'intérêt sur le papier, tout en participant aux "special events" que sont l'Arsenal et la réunion annuelle de la Cloud Security Association.
D'autant plus que cette dernière a laissé aux auditeurs l'arrière goût d'inachevé auquel on s'attendait malheureusement. Pas de solution (mais peut-on honnêtement envisager une solution globale pour un concept aussi vaste?), et l'impression qu'en dépit des efforts de chacun, la sécurité du Cloud reste un ensemble désorganisé d'initiatives menées indépendamment les unes des autres. Toutefois la limite, sinon l'inutilité, des standards et recommandations génériques semble être maintenant comprise et acceptée. C'est une étape importante qui vient d'être franchie car les travaux à venir vont enfin prendre en compte la spécificité technique des différents environnements qui composent les différents Clouds.
L'Arsenal est une nouvelle initiative. Encore embryonnaire (seulement
5 outils sont présentés lors de la première matinée), elle reste très pertinente dans la mesure où elle permet d'identifier la tendance en termes de développement, une tendance qui répond naturellement à un manque dans certains domaines. C'est donc que l'on y découvre sans surprise Vasto, un outil de test de vulnérabilité visant les environnements virtualisés sur VMWare. A l'heure du Cloud et de la virtualisation cet outil tombe à point nommé.
Du côté des conférences il y en a pour tous les goûts. Et s'il est de bon ton de critiquer, il faut admettre que le niveau reste excellent. Pourvu que l'on sache sélectionner avec discernement les conférences auxquelles assister, chacun y trouve son compte.
La plus impressionnante reste toutefois celle de Barnaby Jack qui retourne sans vergogne un distributeur automatique de billets. On comprend pourquoi cette présentation a été interdite l'année dernière... Suivent quelques banalités sur la prévention des malwares implantés sur les serveurs webs et une dernière conférence présentant une approche intéressante d'identification des applications webs (qui devrait conduire à des techniques d'identification d'un Cloud - tiens...).
La journée se termine avec Thomas Ryan. Sa présentation donne les résultats d'une étude menée pendant 28 jours au cours desquels il s'est inscrit sous une fausse identité dans divers réseaux sociaux. A l'issue de cette période il était connecté à une centaine de personne des organismes gouvernementaux et d'entreprises du Fortune 500 au sein desquelles il s'est fait proposer divers emplois, sur la base d'une confiance totalement arbitraire. Et si ce n'est peut-être qu'une version Web 2.0 des vieilles techniques de "social engineering", les résultats restent impressionnants !
Beaucoup de contenu donc. Trop peut-être, et il devient nécessaire de s'organiser à plusieurs pour se repartir les tâches et ne pas passer à côté d'informations intéressantes, spectaculaires ou inédites.