Premièrement, j’ai un stage ! Il se fera à CEIS sur Paris pendant six mois de mi-avril à fin septembre. En gros, je suis très content d’avoir ce stage, car les missions correspondent à ce que je cherchais dans le domaine de la sécurité des systèmes d’information. Je veux remercier Nicolas Caproni (@cyber_risks) pour m’avoir éclairé sur cette offre – il sera d’ailleurs responsable de moi pendant ce stage où je ne doute pas d’apprendre un paquet de choses tout au long de ce dernier.

De plus, je voulais remercier ceux qui m’ont fait part d’offres de stages même si je les ai toutes déclinées – certaines sont arrivées récemment – car j’avais déjà mon stage à CEIS. Cependant, je vous en suis reconnaissant, cela fait toujours du bien de voir que des personnes s’intéressent à ce que l’on fait. Merci merci merci ! Il ne me manque plus qu’à enlever cette recherche de stage de mon site (grand moment d’émotion en perspective :)

En second point, je suis encore sur cet article (sorte de bilan) lié à un audit sauvage (je sais, c’est mal) que j’ai fait sur des portails web de médias français. Pourquoi ? Eh bien car je dois contacter les administrateurs, webmasters, DSI etc. pour boucher les failles qui sont bien nombreuses (et pour certaines très grosses). Cependant, ne vous attendez pas à un scoop avec les noms des médias, par respect pour leur travail, je ne divulguerait aucun nom, seule la méthodologie sera présentée. Toujours est-il qu’ils sont nombreux, et la plupart d’envergure nationale si ce n’est internationale pour certains.

Récemment, j’ai mis à jour quelques scripts sur Security Bugs Hunter au programme, des vulnérabilités que j’avais trouvées fin 2009, d’autres datant d’hier sur un simple « calendrier » dont Smashing Magazine faisait la PUB hier sur Twitter (beau #FAIL à la vue nombre de followers liés à ce compte). J’en ai encore beaucoup dans ma hotte, cependant, je ne possède pas tellement le temps de faire le tour complet de certains scripts donc je préfère attendre avant de les publier.

Pour finir, je suis en train de bosser sur la certification CISSP non pas pour la passer – si je me souviens bien, il faut avoir un minimum de cinq années d’expérience pro. en SSI et pas mal d’argent pour un indépendant – mais seulement pour apprendre de nouvelles choses dans la domaine de la sécurité. Je lis en ce moment CISSP All in one Exam guide qui possède tout le contenu lié à cette certification avec comme dans chaque livre de geek qui se respecte quelques petites blagues dans certains coins. Reste que ce petit monde de la sécurité évolue si vite que certaines notes sont déjà dépassées… mais bon, l’extrême majorité de la méthodologie, des descriptions et des sujets traités sont bons à prendre (et très bien traités !). Bref, un bouquin à avoir chez soi qui sera très bien entre Security Power Tools et Network securty hacks. L’édition poche n’existe pas, malheureusement.

Promis, je publie l’article dans quelques jours.

Ainsi, après de nombreuses heures à essayer de comprendre Joomla (sic) et au final, re-coder une partie des views (pour alléger l’affichage et le rendre sémantique – joomla n’étant pas sémantique), et réaliser mon propre template (car, il faut bien le dire, les templates de Joomla sont moches pour un site design (j’entends par là, du vrai design)) eh bien, le voilà en ligne !

En ce qui concerne le design, je l’ai voulu très ZEN et en paysage pour le header. Ainsi, cela symbolise l’eau et l’apaisement lié à la pêche (que l’on retrouve dans les transitions du header). Pour ce qui est des tons, du vert et du beige, simplement afin de rester dans cet environnement très calme. Point de vue prog’ dure, j’ai créé le « module » d’actualités et re-développé les menus qui me semblaient trop compliqués sous un template normal. Le logo de l’association a été aussi réalisé cette semaine en deux heures.

Bref, je suis assez content du travail fait même s’il y a quelques changements à faire sur le site (url rewriting, sémantique (H1 dans le titre), logo (ses couleurs), plan du site non linké, uF etc.). – Le tout est bien évidement administrable avec la zone d’administration – non ergonomique – de Joomla ! (wahou).

Tout d’abord, je passe la majorité de mon « temps libre » sur mes études, qui sont certes, intéressantes, mais prennent beaucoup d’heures suite à différents projets. D’ailleurs, mon principal projet cette année est de refaire le site d’SRC Bordeaux, le site de mon IUT. Au programme, (re)définition du design, de la stratégie SEO/SMO, développement de plugins wordpress propres au site internet etc.

A ce jour, je ne peux pas vous montrer ce que l’on a fait, car les maquettes, zonings, stratégies etc. n’ont pas été validés par une partie du corps enseignant. Au pire, nous devons mettre une première version du site en ligne la semaine prochaine donc keep update.

Ensuite, cette semaine, toujours à SRC a lieu un « évènement » (au niveau de l’IUT, tout est relatif) permettant aux étudiants de réaliser des sites internet pour des associations de Blanquefort. Bref, bonne semaine en perspective – j’apprécie les rencontres et le partage de connaissances. Cependant, le CMS utilisé est Joomla. Pour ceux ne connaissant pas Joomla, c’est le seul CMS où essayer de comprendre son fonctionnement prend plus de temps que de re-coder le corps à sa guise. Là aussi, keep update, le site internet que je réalise avec deux autres étudiants sera en ligne samedi vers 15h.

Point de vue recherches et épanouissement personnel, je suis en train de rédiger un papier sur les stratégies d’attaques et de défense des systèmes d’information. Intitulé « Tactiques, stratégies et guérillas informationnelles », il reprend les grands principes de la stratégie terrestre et grands courants de pensée stratégiques afin de les calquer dans un concept d’info-guerre tout en ayant une certaine abstraction technologique quand cela est possible. Ce papier est à l’heure actuelle à ses balbutiements, mais avance bien selon le temps dont je dispose pour me documenter et l’écrire (quelques heures par semaine, tout au plus).

D’ailleurs, pour ceux qui s’intéressent – tout comme moi – à la stratégie terrestre, maritime, aérienne, géographique ou même globale, je ne saurai vous recommander le « Traité de stratégie » qui n’est autre que la bible stratégique que je m’efforce à lire en long, en large, en travers et à annoter depuis quelques semaines. Tout, absolument tout est bon à prendre dedans. Sa lecture est un pur bonheur et les thèmes traités abordables – je pense – même pour des néophytes en matière de (géo)stratégie.

Pour conclure donc, n’attendez-vous pas à une réelle activité ces prochains jours, en ce moment, je suis complètement submergé par différents projets et le temps libre (le vrai) que je peux posséder, je fais tout pour le passer loin d’un PC et loin de Bordeaux avec des ami(e)s.

Nous abordons ainsi les différentes utilisations de Twitter et ses problèmes actuels, tant au point de vue financier (comment rendre ce service économiquement viable) jusqu’à la sécurité du service et de ses utilisateurs (vulnérabilités des API).

Un petit slide est d’ailleurs dédié à KreiosC2, le PoC permettant de transformer Twitter en cannal de communication pour BotNet par le 80 et ainsi bypasser quelques firewalls au passage (reste le problème de certains proxys internes aux entreprises, mais bon, on peut l’éliminer facilement ;) et puis, ce n’est qu’un PoC, onne va pas tout mettre sur un plateau.

Voici les slides (hébergées sur slideshare) :

Ce stage, je souhaite le réaliser dans le domaine de la Sécurité des Systèmes d’Information et plus spécifiquement dans le domaine des audits & tests d’intrusion (réseaux, bastions & web) ainsi que dans la veille liée à la sécurité informatique.

Je cherche – grâce à ce stage – à approfondir mes connaissances dans les méthodes d’audit et normes (ISO 27001, OSSTMM, PCI DSS, OWASP), ainsi que dans la sécurité de certains protocoles. Aujourd’hui, je possède de bonnes connaissances en audit d’applications web & bastions, en Information Gathering ainsi que dans différents domaines liés à la sécurité des systèmes d’information.

• Attaques sur réseaux & bastions
• Malware analysis
• Sécurité des clients
• Sécurité Linux
• Veille

J’espère découvrir, de par ce stage, la sphère professionnelle de cette passion que je possède depuis cinq ans maintenant et partager ainsi mes connaissances tout en apprenant de nouvelles techniques dans ce domaine.

De plus, je suis ouvert à toute proposition de stage dans d’autres domaines liées par exemple au développement web/administration de serveurs, au webdesign ou à la veille informationnelle. Vous pouvez dès aujourd’hui prendre contact avec moi par l’intermédiaire de mon site Internet et voir mon CV en cliquant sur l’icône ci-dessous :

Me concernant, j’étais dans le groupe d’organisation de l’évènement et nous devions dans ce groupe réaliser deux choses principales. Tout d’abord, organiser l’évènement mais aussi faire un générique à l’émission. L’organisation s’est bien passée même si le matériel manquait à la suite de groupe qui ayant les yeux plus gros que le ventre prenaient deux caméras alors qu’une aurait largement suffit.

Par contre, niveau générique, je pense que nous, tout comme certains groupes, nous avons eu les yeux plus gros que le ventre. Notre idée était de réaliser un effet de magazine incrustant des vidéo avec des testes en 3D dans after effects donc il nous fallait faire toute la mise en page dans photoshop/illustrator puis ensuite l’importer dans after. Bref, outre le temps pris pour la mise en page des maquettes, seule une personne dans le groupe avait des notions d’after effects ce qui fut la plus grande contrainte de réalisation de ce générique (sans parler des problèmes matériels, ayant des ordinateurs non conçus pour exporter en deux deux des vidéos d’after effects).

Bref, beaucoup d’erreurs ont été faites dans mon groupe et dans l’ensemble de cet Elab TV qu’il faudra que je retienne. Mais outre le but de l’évènement, je retiens quelques souvenirs tout de même, certains fous rires, ou même les longues heures devant un écran afin de réaliser des maquettes ou de comprendre le fonctionnement d’after effects. Sans parler du rapprochement franco-chinois pendant cet Elab TV. Une chose est sur, n’ayant que quelques bases actuellement en vidéo (première), il faut vraiment que je me mette à voir plus loin qu’un simple montage lambda .

Quelques idées en vrac pour le prochain Elab TV :

- Réaliser l’évènement avant décembre pour rapprocher les élèves ? (Après, il faut voir au point de vue de la formation audiovisuelle de ces derniers).
- Faire des impressions d’autorisation de droit à l’image avant l’évènement.
- Pourquoi ne pas faire une présentation en live façon « météo » dans une pièce à côté du plateau qui sera enregistrée et projetée directement au plateau télévision ?
- Ne pas injecter du matériel dans le processus sans qu’il ne soit notifié par les responsables de l’organisation.
- Prévoir les interviews de policiers, gendarmes etc. avec une autorisation de leur hiérarchie faite avant Elab TV.

Bref, j’ai passé ce stage dans une petite imprimerie de Poitiers afin d’observer tout le processus de la chaine graphique mais aussi et bien entendu, mettre un peu la main à la patte là où je pouvais me rendre utile. Donc en une semaine, on va dire que j’ai fait quelques trucs intéressants. Tout d’abord, je me suis initié à Quark Xpress, ne l’ayant pas à mon IUT (tout du moins, pas à ma connaissance.) j’ai pu enfin voir ce que valait ce logiciel – dont on me vante les mérites depuis quelques années maintenant – comparé à Indesign d’Adobe. Bref, je n’ai pas fait de très grandes maquettes dessus mais seulement quelques faire-parts et cartes de visites.

D’ailleurs, outre le fait que cette imprimerie possède certains grands comptes comme clients, elle est aussi spécialisé dans les faire-parts. En voir un d’accord, mais en voir dix de suite devient plus que marrant ! Toujours les mêmes formulations, toujours les polices anglaises pour faire chique et pour plaire aux clients. De plus, sur certains siégeaient de très grosses fautes de formulation. Maintenant, je sais pourquoi il faut soigner son orthographe (même si cela m’arrive évidemment de faire des fautes) car faire des fautes sur un schéma de faire-part que l’on donne à un imprimeur, cela ne se fait pas.

Donc il y avait des moments « cools », ceux où je faisais de l’infographie et d’autres moins « cools », ceux où je remplissais des cartons de 27000 feuilles. Par ailleurs, étant en SRC, on m’a demandé de réaliser une maquette de présentation pour leurs email mais aussi afin de faire un petit peu de PUB autour d’eux (oh le vilain spammeur !). Donc j’ai passé environ cinq heures à faire le design ou à développer le code. Mais aussi à faire des tests pour voir ce qui était interprété et ce qui ne l’était pas par nos amis les webmails et de plus (hacker inside) j’ai élaboré des stratégies afin de contourner certains filtres interdisant l’affichage direct de la moindre petite image dans un mail…

Bref, c’est fini, maintenant je passe à autre chose. Je remercie tous les employés pour m’avoir donné de leurs temps afin de m’expliquer tous les rouages d’une imprimerie et de certaines machines. De plus, j’essaye encore de garder cette vision d’artisan même si la technologie est aujourd’hui partout ce qui dé-nature un peu l’esthétisme qu’avait le typographe d’antan mettant à la main des chaînes de caractères. Aujourd’hui l’offset est partout, les imprimeurs n’ont plus le temps, mais bien l’heure.

Il n’empêche que cela est vrai, cette formation est à la pointe des nouvelles technologies réalisées sur le web telles que la programmation en AS3 et en Flex. Mais bon, on ne s’arrête pas là et on étudie aussi les réseaux, la communication, le webmarketing, le droit, la chaine graphique, la mise en page, la programmation -Python, HTML, PHP, JS etc.- , du web design, de la typographie, de l’analyse sémantique, de l’analyse d’audience, du référencement, la mise en place de campagnes de publicité, de la vidéo, de la photographie, de la gestion de projet, des maths etc. Ouf, cela fait un paquet de choses en fait ! (et je n’ai pas tout mis !)

Pour tout vous dire, il vaut mieux être passionné par le web et avoir une pointe d’autodidaxie si l’on veut suivre correctement tout ce qu’il y a à savoir dans les différents domaines.

Par ailleurs, vendredi prochain (le 6 février) se tiendra dans cet IUT la troisième édition du forum Néo-Médias permettant de faire le point sur les différentes technologies utilisées aujourd’hui sur Internet. Mais aussi l’utilisation de ces dernières par les professionnels. Il y aura donc des conférences qui seront en autre sur les RIA, le référencement, le webmarketing, le média-planning etc. Le programme de la journée est à voir ici et vous aussi, vous pouvez y participer ! ]]> http://blog.felix-aime.fr/src-bordeaux/src-bordeaux-mais-qui-es-tu/feed/ 0