Stagiaire de début Mars à fin Août 2013

Stage de fin de Master 2

En vue d'enrichir l'offre Sécurité portée par l'équipe sécurité rennaise, le sujet de stage "Audits de vulnérabilités et tests d'intrusion" a été poussé par Capgemini à l'université. L'objectif étant de compléter l'axe "Audits de sécurité" par des audits dynamiques: des tests d'intrusion.
Durant mon stage, il m'a été demandé de travailler sur les axes suivants:

  • Les tests d'intrusions: prioritairement ceux concernant les applications web
  • La problématique des contrôles d'accès et de la gestion d'identités par l'étude d'une solution open-source.

La première partie de mon stage, consacrée au coeur du sujet, concerne les tests d'intrusion ("penetration tests" en anglais, généralement réduit en "pentest"). C'est une méthode permettant d'auditer dynamiquement le niveau de sécurité du sujet étudié (application web, système d'information, ...). Pour cela, l'auditeur se comporte comme un utilisateur malintentionné sans toutefois exploiter complètement les éventuelles vulnérabilités découvertes pour ne pas mettre à mal le sujet (sauf accord contractuel).

Les applications web représentant 80% des cibles des attaquants (source: Gartner), il m'a été conseillé de commencer mon travail sur cette partie des tests d'intrusion.
Ainsi, je me suis référé au TOP 10 OWASP qui est un document présentant les 10 vulnérabilités les plus exploitées contre des applications web. Puis j'ai étudié les contre-mesures à chacune. Suite à cela, je me suis exercé à identifier et exploiter ces mêmes vulnérabilités grâce à différentes plateformes de tests telles que WebGoat, Mutillidae, DVWA, Kioptrix level 3 ou encore des sites de challenges tels que Root-me.org, w3challs.com, Redtiger hackit, ...

J'ai également eu l'occasion d'intervenir sur un projet en cours de réalisation par Capgemini. Il s'agissait d'une application de paiement en ligne après avoir sélectionné des produits. J'ai relevé plusieurs vulnérabilités et mis en avant le risque présenté par certaines en réalisant une attaque de type "Man In The Middle".

Seconde partie de stage: compréhension du mécanisme de l'authentification unique par l'étude de la solution open-source OpenAM et réalisation d'un POC.

Détails à venir...

OpenAM

Ci-dessous, le diaporama m'ayant servi de support lors de ma soutenance orale d'après stage effectuée le mardi 3 Septembre à l'université de Rennes 1.