Définir le scope d’un pentest est une étape délicate. Quelle sera la cible du pentest ? Plus précisément, quels aspects fonctionnels et techniques faut-il tester en priorité ? De plus, quel degré de profondeur et quelle fréquence de pentest sont à recommander ?
Pancake est un logiciel de facturation en ligne, de management de projets et de gestion du temps et des devis. Un secret codé en dur, partagé par l’ensemble des installations et utilisé pour signer le cookie de session nous a permis de falsifier un cookie de session valide pour n’importe quel compte pour toutes applications Pancake avant la version 4.13.29.
Une XXE (XML External Entities) est une vulnérabilité faisant partie du Top 10 de l’OWASP et touchant les programmes interprétant le XML.
Elle se caractérise par la possibilité de lire des fichiers sur le serveur cible. Elle peut ainsi mettre en danger celui-ci, en accédant, par exemple, à un fichier de configuration contenant des mots de passe, en copiant les fichiers de la base de données ou en récupérant le code source d’une application.
Le numérique est devenu central pour le secteur de la santé. Cela concerne toutes les activités, des admissions de patients à la gestion des prescriptions jusqu’au contrôle de l’environnement matériel. Dans ce contexte, les risques de cybersécurité se sont également répandus. Effectuer un audit de sécurité permet d’évaluer concrètement les risques pour chaque établissement ou entreprise dans le domaine de la santé.
Voici un panorama des enjeux de cybersécurité que nous rencontrons fréquemment et qui peuvent être des points d’attention lors d’un pentest. Si la protection des données est un enjeu majeur, d’autres risques liés au matériel et à l’infrastructure informatique sont aussi des points de préoccupation récurrents.
Le protocole WebSocket est un protocole de la couche applicative du modèle OSI, qui permet de communiquer en full duplex (soit un canal de communication où l’information peut circuler simultanément dans les deux sens) entre un client (un navigateur) et un serveur web. En deux mots, il permet de créer des applications web de type « temps réel » — messagerie instantanée par exemple.
Les fintech sont des entreprises généralement plus exposées aux risques et plus matures que la moyenne en matière de cybersécurité. La nature de leurs activités implique la nécessité de prendre en compte les risques de fraude et de cyberattaques dès la conception d’un nouveau produit.
Le pentest vient ensuite confronter les choix de sécurité et les protections mises en place avec la menace réelle. Selon la nature du produit (solution de paiement, plateforme de crédit, gestion bancaire, private equity, etc.), les enjeux métiers seront différents. Voici cependant quelques détails sur les principaux risques et les priorités de pentest les plus fréquentes d’après notre expérience auprès de fintech.
Réaliser un pentest peut faire partie de vos objectifs… sans que ce soit le bon moment pour l’instant. Ceci pour différentes raisons : des développements sont en cours, ou bien une migration est prévue, ou bien vous n’avez pas encore de budget…
Face aux différentes priorités qui doivent être respectées, quel est le bon moment pour faire un pentest ?
Nous allons voir ensemble diverses situations dans lesquelles la question se pose et vous donner des clés pour identifier le bon moment pour mener un test d’intrusion.
Actuellement, depuis mars 2018, les certificats SSL/TLS (plus communément aussi appelés certificats HTTPS) peuvent avoir une durée maximale de validité de 825 jours.
Mais en mars 2020, Apple a annoncé qu’ils autoriseront pour Safari seulement les certificats SSL/TLS d’une durée maximale de 398 jours (13 mois). Et Google suivra cette voie (annoncé par le président émérite du CA/B Forum sur Twitter le 11 juin dernier).
En juillet, Mozilla a également confirmé réduire la durée des certificats.
Il existe plusieurs types d’audits de sécurité informatique : certains concernent des aspects organisationnels, d’autres concernent une analyse technique, d’autres encore sont des tests d’intrusion.
Tous ces aspects sont complémentaires, afin d’analyser au mieux le niveau de sécurité d’une organisation. Dans cet article, nous allons volontairement laisser de côté les aspects organisationnels afin de nous focaliser sur les aspects techniques.
Stocker les mots de passe de manière sécurisée est une préoccupation récurrente.
Mais quelles sont les principales méthodes, comment fonctionnent-elles, et que valent-elles face aux techniques actuelles de cassage de mots de passe ?
Nous vous expliquons dans cet article les principes essentiels d’un stockage sécurisé (hash, sel, poivre, itération) et mettrons en évidence leur importance pour résister aux méthodes de récupération des mots de passe. Enfin, nous vous parlerons d’une fonction de hashage fiable pour un stockage sécurisé.