Pentest, Bug Bounty, hacking éthique : la cybersécurité se décrypte avec l’ESME !

Bug Bounty, hacking éthique, pentest, attaque « Tempest »… Si ces termes ne vous sont pas familiers, ils le sont pour tous les experts et ingénieurs en cybersécurité ! En marge de la dernière émission ESME Demain justement consacrée à cette thématique, l’école revient sur ces mots et expressions.

Pentest : l’intrusion en prévention

Contrairement à ce que son orthographe pourrait laisser présager, un pentester n’a pas vocation à essayer tous les stylos à bille ou à encre qui lui passent sous la main. Marius Vinaschi (ESME promo 2021) peut vous le confirmer puisqu’il est lui-même pentester et développeur au sein de la société Patrowl.io. « Un pentester est quelqu’un qui va effectuer des tests d’intrusion sur le système d’information pour des entreprises, confie l’Ancien de l’école. Dans ma société, on est spécialisé dans les tests externes, c’est-à-dire sur Internet, les sites web et les serveurs. Quand on travaille dans ce domaine, on constate que bon nombre d’entreprises ne voient pas forcément ce qu’elles exposent sur Internet, même si elles commencent de plus à plus à prendre conscience du problème. En effet, tous les sites web peuvent être vulnérables comme, par exemple, ceux qui utilisent WordPress, un CMS bien connu pour lequel on recense de nouvelles vulnérabilités quasiment toutes les semaines ! » Ces vulnérabilités peuvent être utilisées pour accéder à des espaces interdits (notamment la partie administration), récupérer des informations parfois sensibles et modifier les pages de sites web.

Tempest : une « très vieille » attaque d’ondes !

Savez-vous qu’il est possible de pirater n’importe quel objet avec le bon outil ? Y compris des câbles HDMI ou des portes de garage ? C’est ce qu’ont pu réaliser trois étudiants de la promotion 2022 de l’ESME à l’occasion de leur projet de fin d’études utilisant la technologie SDR ou « Software Defined Radio » qui utilise les ondes radio et électromagnétiques pour effectuer différentes attaques. Membre du trio et aujourd’hui consultant au sein de la société Adentis, Alexis Pradel l’affirme : son équipe n’a fait que remettre au goût du jour une technique très connue dans le monde de la cybersécurité car déjà utilisée au temps de la seconde Guerre mondiale : « Il s’agit de la fameuse méthode d’interception de type Tempest qui écoute à bonne distance le signal de l’appareil visé, le décode et ensuite le reproduit ! » Une aventure récemment mise en lumière dans la série vidéo « L’étincelle » !

Hacker éthique : chapeau aux « white hats » !

Comment appeler ceux dont le métier est de simuler le rôle du cyber assaillant ? Hackers éthiques ou White Hats ? Pour Romain Du Marais, lui-même hacker indépendant et YouTuber, il faudrait privilégier tout simplement le terme de hacker professionnel : « À la base, le hacker, c’est celui qui bidouille et s’intéresse à plein de sujets ! » Sollicité par des entreprises pour vérifier l’existence de potentielles failles de sécurité, ce hacker qui vous veut du bien ne reste pas forcément bloqué derrière son écran pour remplir ses missions. « Pour certaines opérations assez complexes à préparer, il m’est arrivé de me faire passer pour le réparateur de l’imprimante pour vérifier la capacité des équipes de l’entreprise à se méfier et à vérifier… Au fond, tout est piratable, au prix d’un certain effort. Avant l’aspect technique, il y a toujours une possibilité d’exploiter une faille humaine via une faille de renseignement, une veille sur les réseaux sociaux, une étude des habitues de la cible, de ce qu’elle aime faire, etc. » Un avis partagé par Frédéric Ocana, consultant en cybersécurité : « La faille humaine, c’est très souvent la première porte d’entrée, la plus facile, la plus simple, avec par exemple, un simple mot de passe mal protégé ». Reste que le hacker « éthique » ne fait pas que révéler à l’employeur ses défauts : il lui suggère aussi des améliorations et des solutions.

Bug Bounty : entre le hacker et le chasseur de primes

Si, à l’époque du Far West, les Bounty Hunters (chasseurs de prime) étaient craints des malfrats, aujourd’hui, ce sont les pratiquants du Bug Bounty ou « chasseurs de bug » qui ne sont pas appréciés des criminels informatiques. Ces derniers, tels des mercenaires des temps modernes, tendent à sécuriser notre monde numérique en partant à la recherche de vulnérabilités et de failles contre récompense avant que des cyber assaillants ne les exploitent. Une activité pour laquelle s’est spécialisée l’entreprise Yogosha, qui occupe le rôle de médiateur entre hackers et entreprises, dont Fanny Forgeau est la directrice générale : « Les montants varient sur le type de vulnérabilités. Si elles sont petites et ne représentent pas un grand risque, chaque faille peut coûter 50 à 100 euros pour le client. Par contre, si elles représentent un risque véritable, les montants peuvent grimper, de 5 000 à parfois 100 000 euros ! » Toutefois, trouver la faille n’est pas la seule composante du Bug Bounty : le coût de la performance tient également à la qualité et la pertinence du « rapport de faille » remis par le chasseur au client pour lui assurer une compréhension optimale du problème détecté.

Envie d’en savoir plus sur la cybersécurité ? Revivez l’émission ESME Demain consacrée sur le sujet et animée par Olivier Lascar (ESME promo 1999), journaliste et rédacteur en chef du pôle digital de Sciences et Avenir – La Recherche !

La cybersécurité, c’est l’affaire de tous… et de toutes !

Même si de plus en plus des entreprises sont aujourd’hui préparées à d’éventuels actes de malveillance, « personne n’est à l’abri des attaques, que l’on parle des individus, des petites structures ou des grands groupes : il faut donc capitaliser les retours d’expérience et réfléchir à des tactiques permettant aux forces de continuer à émettre et empêcher les forces malveillantes d’émettre », rappelle Severine Meunier d’Airbus Cybersecurity, également invité de l’ESME Demain. Tout le monde est ainsi concerné et le combat de la cyber n’est définitivement pas qu’une affaire d’hommes ! À l’image de Séverine Meunier mais aussi de Fanny Forgeau, de nombreuses professionnelles contribuent chaque jour à rendre notre monde plus sûr. Certaines d’entre elles sont même réunies au sein de différentes structures, comme Women4Cyber, une fondation européenne à but non lucratif dont l’objectif est de promouvoir, encourager et soutenir la participation des femmes dans le domaine de la cybersécurité.