Que devient on quand on plonge dans la marmite de la sécurité informatique?
************************
J=0 installer linux *
***********************
C'est une étape angoissante! Vous lancez le liveCD d'Ubuntu puis décidez de l'installer à coté de Windows. Vous découvrirez à l'usage que les deux OS ont leurs avantages.
*************************
* J=30 installer Apache *
*************************
Pour apprendre la sécurité informatique, vous créez votre premier site Web. Vous découvrez que les cases à cocher de Windows sont remplacées par des fichiers de configuration. Vous vous perdez au passage dans les forums. Vous découvrez les premiers concepts de protocoles et decouches OSI.
*********************************
* J=60 résoudre son premier CTF *
*********************************
La résolution de son premier CTF est loin d'être évidente! Vous installez VMWare et lancez la VM de LampSecurity. Vous apprenez ce qu'est une base de donnée et les grands principes des vulnérabilités Web. Pour le résoudre, vous avez besoin de l'aide de communautés. Vous découvrez que les protocoles ne sont pas toujours fiables. Finalement, vous commencez à partager vos connaissances.
************************************************
* J=120 s'intéresser aux entrailles de Windows *
************************************************
Vous achetez votre premier livre sur les rootkits. Vous passez 15 jours sur les 80 premières pages et vous comprenez comment charger un pilote etcomment le noyau communique avec le userland.
*************************************
* J=200 coder son premier shellcode *
*************************************
Vous voulez exploiter une faille applicative. Vous lisez donc le tutoriel de ghost in the stack sur les shellcodes. Vous l'appliquez alors à Windows ou sur une fonction comme scanf et découvrez les principes de structures internes et les listes doublement chainées.
**********************************
* J=230 exploiter les classiques *
**********************************
Vous entamez alors un long périple dans les découvertes des 20 dernières années. Vous crackez du Wifi, vous fait du MITM en ARP, etc. Cette étape prend du temps, mais il faut y passer!
**********************************
* J=400 coder son premier fuzzer *
**********************************
Vous vous lancez alors dans vos premières recherches personnelles. Vous lisez un peu de Didier Stevens, et vous vous lancez dans votre premierfuzzer en Ruby.
**************************
* J=430 analyse de code *
**************************
Un jour, quelqu'un vous demande si les mots de passe de Firefox sont stockés en clair. Après quelques recherches google, vous voyez bien que la question n'est pas nouvelle, mais que Mozilla a évolué. Donc vous vous plongez dans le code source de Firefox.
**********************
* J=460 pentest Web *
**********************
Vous envisagez de travailler dans l'audit réseau. Vous apprenez donc à le faire! D'abord du footprinting (Maltego, c'est joli, mais comment ca marche?). Vous codez donc quelques outils Python pour vous amuser avec le DNS.
********************************
* J=500 marre de réinstaller! *
********************************
Bon, jusqu'à présent, vous avec réinstallé au moins 7 fois votre OS et vos outils. Comme vous ne savez jamais ce qu'une distribution orientée sécurité met dans ses programmes, vous décidez d'automatiser un peu tout ca.
*************************************
* J=560 les puces cryptographiques *
*************************************
Vous découvrez que votre ordinateur possède une puce cryptographique! Encore un nouveau sujet plein de perspectives... Vous découvrez donc comment utiliser le TPM. Au passage, vous découvrez l'authentification fort mutuelle sous Apache.
***********************************
* J=620 et le droit dans tout ca *
***********************************
Mais un jour, vous vous demandez si vous avez le droit de faire tout ca. Alors vous jetez un oeil sur l'article 323 du code pénal, en vous posant une question simple: ai-je le droit de scanner google?
***************
* aujourd'hui *
***************
Vous vous rendez compte que vous vous êtes fait plein de nouveaux amis, qu'il vous faudra plusieurs vies pour découvrir tout ce que vous avez envie de voir, et, plutôt que vous décourager, vous faites quelques CTF pour rejoindre la communauté Zenk.
J'espère que cette présentation encouragera un maximum de personne à passer du "je n'y arriverai jamais!" au "ouahou! tout ce qu'il me reste à faire!"
************************
J=0 installer linux *
***********************
C'est une étape angoissante! Vous lancez le liveCD d'Ubuntu puis décidez de l'installer à coté de Windows. Vous découvrirez à l'usage que les deux OS ont leurs avantages.
*************************
* J=30 installer Apache *
*************************
Pour apprendre la sécurité informatique, vous créez votre premier site Web. Vous découvrez que les cases à cocher de Windows sont remplacées par des fichiers de configuration. Vous vous perdez au passage dans les forums. Vous découvrez les premiers concepts de protocoles et decouches OSI.
*********************************
* J=60 résoudre son premier CTF *
*********************************
La résolution de son premier CTF est loin d'être évidente! Vous installez VMWare et lancez la VM de LampSecurity. Vous apprenez ce qu'est une base de donnée et les grands principes des vulnérabilités Web. Pour le résoudre, vous avez besoin de l'aide de communautés. Vous découvrez que les protocoles ne sont pas toujours fiables. Finalement, vous commencez à partager vos connaissances.
************************************************
* J=120 s'intéresser aux entrailles de Windows *
************************************************
Vous achetez votre premier livre sur les rootkits. Vous passez 15 jours sur les 80 premières pages et vous comprenez comment charger un pilote etcomment le noyau communique avec le userland.
*************************************
* J=200 coder son premier shellcode *
*************************************
Vous voulez exploiter une faille applicative. Vous lisez donc le tutoriel de ghost in the stack sur les shellcodes. Vous l'appliquez alors à Windows ou sur une fonction comme scanf et découvrez les principes de structures internes et les listes doublement chainées.
**********************************
* J=230 exploiter les classiques *
**********************************
Vous entamez alors un long périple dans les découvertes des 20 dernières années. Vous crackez du Wifi, vous fait du MITM en ARP, etc. Cette étape prend du temps, mais il faut y passer!
**********************************
* J=400 coder son premier fuzzer *
**********************************
Vous vous lancez alors dans vos premières recherches personnelles. Vous lisez un peu de Didier Stevens, et vous vous lancez dans votre premierfuzzer en Ruby.
**************************
* J=430 analyse de code *
**************************
Un jour, quelqu'un vous demande si les mots de passe de Firefox sont stockés en clair. Après quelques recherches google, vous voyez bien que la question n'est pas nouvelle, mais que Mozilla a évolué. Donc vous vous plongez dans le code source de Firefox.
**********************
* J=460 pentest Web *
**********************
Vous envisagez de travailler dans l'audit réseau. Vous apprenez donc à le faire! D'abord du footprinting (Maltego, c'est joli, mais comment ca marche?). Vous codez donc quelques outils Python pour vous amuser avec le DNS.
********************************
* J=500 marre de réinstaller! *
********************************
Bon, jusqu'à présent, vous avec réinstallé au moins 7 fois votre OS et vos outils. Comme vous ne savez jamais ce qu'une distribution orientée sécurité met dans ses programmes, vous décidez d'automatiser un peu tout ca.
*************************************
* J=560 les puces cryptographiques *
*************************************
Vous découvrez que votre ordinateur possède une puce cryptographique! Encore un nouveau sujet plein de perspectives... Vous découvrez donc comment utiliser le TPM. Au passage, vous découvrez l'authentification fort mutuelle sous Apache.
***********************************
* J=620 et le droit dans tout ca *
***********************************
Mais un jour, vous vous demandez si vous avez le droit de faire tout ca. Alors vous jetez un oeil sur l'article 323 du code pénal, en vous posant une question simple: ai-je le droit de scanner google?
***************
* aujourd'hui *
***************
Vous vous rendez compte que vous vous êtes fait plein de nouveaux amis, qu'il vous faudra plusieurs vies pour découvrir tout ce que vous avez envie de voir, et, plutôt que vous décourager, vous faites quelques CTF pour rejoindre la communauté Zenk.
J'espère que cette présentation encouragera un maximum de personne à passer du "je n'y arriverai jamais!" au "ouahou! tout ce qu'il me reste à faire!"
Un bel épilogue !
RépondreSupprimerZenk n'est pas une référence, mais je conçois parfaitement ton approche de la chose.
RépondreSupprimerTrès bonne approche pédagogique. Bon, j'en suis à J=120...
RépondreSupprimerTiens tiens ça me rappelle quelque chose, par contre tu as oublié que tout cela n'est point possible sans la précieuse aide d'une certaine boisson sucrée, caféinée et gazeuse.
RépondreSupprimer\\Silkcut
Beau parcours sans aucuns doutes :).
RépondreSupprimerHeh, perso' j'ai pas garder d'historique mais ça va dater de aux alentours de 2008 pour ma part :).
La partie programmation, culture générale et veille ça prend un temps monste aussi ;). On parle de forensics, crypto', stégano', web' et reversing.
Bref oui, on aura jamais le temps de faire tout ce qu'on veut faire :p.
I like your blog :-))
RépondreSupprimerExcellent article!
RépondreSupprimerEst-ce que malgré ce qui est dit dans * J = 500 marre de réinstaller! * BackTrack est quand même une référence dans la sécurité informatique?