May
12
Secure Test and Debug For Lifetime Security of SoCs
15:00
IUT Amphi B - Campus des Cézeaux - BP86 63172 Aubière
Organisé par
Lifetime security of modern system on chip can be jeopardized by instruments dedicated to test and debug. On one hand, security objectives require that assets (third party IP, secure boot, DRM key…) remain confidential throughout the SoC life-cycle. On the other hand, the test circuitry and the SoC trace-based debug architecture expose values of internal signals that can leak the assets to third-parties. The inherent capability of test and debug instruments to observe the operating state of the SoC can be leveraged as a backdoor for attacks. In this talk, we show the different kinds of attacks which can be mounted based on these features through the whole SoC life cycle (from production to software application debug). We then present different countermeasures which aims at protecting assets belonging to the different stakeholders (IC designer, SoC integrator, Software developers…). Finally, we show how this circuitry dedicated to test and debug can be leverage on purpose during mission mode to offer security services to the software developers.
Lien vers l'événement
Ajouter à mon agenda Google
Ajouter à mon agenda (.ics)
Confiance Numerique
May
12
Control-Flow Recovery through Binary Code Analysis
14:00
IUT Amphi B - Campus des Cézeaux - BP86 63172 Aubière
Organisé par
Binary code analysis is required when you only have access to program’s binary code, or when you do not trust the compile chain that you use. In the last two decades, this field has made big progress but, still, it remains confidential and most of the people will just consider it as classical program analysis. In fact, binary analysis induces a lot of practical and theoritical problems which are specific to binary code analysis.
I will present the context of binary analysis and develop the specific problems that are linked to this topic (dynamic jumps, loop unwinding, self-modifying code, …). Then, I will introduce our intermediate representation (microcode) and explain our main algorithm to rebuild the control flow of a binary program.
Lien vers l'événement
Ajouter à mon agenda Google
Ajouter à mon agenda (.ics)
Confiance Numerique
Feb
04
Verification of cryptographic protocols : from authentication to privacy.
14:00
IUT Amphi B - Campus des Cézeaux - BP86 63172 Aubière
Organisé par
Steve Kremer, Inria Nancy Grand-Est & Loria, Cassis team
Formal, symbolic techniques for modelling and automatically analyzing security protocols are extremely successful and were able to discover many security flaws. Initially, these techniques were mainly developed to analyze authentication and confidentiality properties. Both these properties are trace properties and efficient tools for their verification exist. In more recent years anonymity-like properties have received increasing interest. Many flavors of anonymity properties are naturally expressed in terms of indistinguishability and modeled as an observational equivalence in process calculi. We will present recent advances in the verification of such indistinguishability properties and illustrate their usefulness on examples from electronic voting.
Lien vers l'événement
Ajouter à mon agenda Google
Ajouter à mon agenda (.ics)
Confiance Numerique
Feb
04
Assurer la cybersécurité de son organisation par la gestion des risques.
14:00
IUT Amphi B - Campus des Cézeaux - BP86 63172 Aubière
Organisé par
Mathieu CHARBOIS, Directeur d’agence Fidens
« Toute bonne mesure de sécurisation doit être proportionnée au risque encouru ». « Toute démarche de cybersécurité doit être systématiquement précédée ou accompagnée d’une analyse des risques ». La communauté de la cybersécurité française comme internationale s’accorde sur ces points. Cependant et malgré cette convergence de points de vue, encore peu d’organisations du secteur privé comme du public ont réussi à mettre en place une démarche réellement opérationnelle de cybersécurité qui soit fondée sur ces principes de gestion des risques et de leur arbitrage dans la durée. Dans cette présentation, nous vous montrerons comment, avec un peu d’outillage et de méthode, il est possible de répondre aux vrais besoins de pilotage de la cybersécurité et comment il est possible d’impliquer la Direction Générale dans cette démarche de façon efficace et pragmatique.
Lien vers l'événement
Ajouter à mon agenda Google
Ajouter à mon agenda (.ics)
Confiance Numerique
Nov
05
SMS spam: a holistic view.
15:00
IUT Amphi B - Campus des Cézeaux - BP86 63172 Aubière
Organisé par
Slawomir Grzonkowski, Symantec Dublin
Spam has been infesting our emails and Web experience for decades; distributing phishing scams, adult/dating scams, rogue security software, ransomware, money laundering and banking scams… the list goes on. Fortunately, in the last few years, user awareness has increased and email spam filters have become more effective, catching over 99% of spam. The downside is that spammers are constantly changing their techniques as well as looking for new target platforms and means of delivery, and as the world is going mobile so too are the spammers. Indeed, mobile messaging spam has become a real problem and is steadily increasing year-over-year. We have been analyzing SMS spam data from a large US carrier for over six months, and we have observed all these threats, and more, indiscriminately targeting large numbers of subscribers. In this paper, we touch on such questions as what is driving SMS spam, how do the spammers operate, what are their activity patterns and how have they evolved over time. We also discuss what types of challenges SMS spam has created in terms of filtering, as well as security.
Lien vers l'événement
Ajouter à mon agenda Google
Ajouter à mon agenda (.ics)
Confiance Numerique
Nov
05
Sep
03
Plateforme pour l’exécution contrôlée de logiciels malveillants.
15:00
IUT Amphi B - Campus des Cézeaux - BP86 63172 Aubière
Organisé par
Philippe Owezarski, LAAS
L’Internet, fort de son succès populaire, n’est pas un environnement sûr. Il pèse sur l’Internet et ses utilisateurs un risque qui augmente au fur et à mesure que l’économie numérique se développe. Ce risque se présente souvent sous la forme de botnets, de larges ensembles de machines corrompues par des pirates qui peuvent les utiliser à dessein pour lancer des attaques massives, des campagnes de spam, etc. Pour lutter de façon proactive contre ces menaces, il est essentiel d’analyser le trafic malveillant dans l’Internet correspondant à la diffusion et au mode d’action des virus, vers ou autres maliciels qui servent à la constitution des botnets. Cet exposé décrit donc une plateforme de collecte et d’exécution de ces maliciels qui permet d’observer et analyser l’activité illégitime de l’Internet. Toutefois, la législation en vigueur rend responsable le propriétaire d’une machine de tout le trafic généré. Aussi, cette plateforme doit contrôler le trafic qu’elle génère. Un élément essentiel de cette plateforme est donc un nouveau type de pare-feu adapté à l’analyse de toutes les formes de communications, et qui ne va laisser passer que les paquets ne présentant aucun danger. L’exposé présentera les composants de la plateforme et détaillera le pare-feu. Il illustrera également son fonctionnement et proposera une évaluation de ses performances.
Lien vers l'événement
Ajouter à mon agenda Google
Ajouter à mon agenda (.ics)
Confiance Numerique
Sep
03
ARPKI: Attack Resilient Public-Key Infrastructure.
14:00
IUT Amphi B - Campus des Cézeaux - BP86 63172 Aubière
Organisé par
We present ARPKI, a public-key infrastructure that ensures that certificate-related operations, such as certificate issuance, update, revocation, and validation, are transparent and accountable. ARPKI is the first such infrastructure that systematically takes into account requirements identified by previous research. Moreover, ARPKI is co-designed with a formal model, and we verify its core security property using the Tamarin prover. We present a proof-of-concept implementation providing all features required for deployment. ARPKI efficiently handles the certification process with low overhead and without incurring additional latency to TLS. ARPKI offers extremely strong security guarantees, where compromising n-1 trusted signing and verifying entities is insufficient to launch an impersonation attack. Moreover, it deters misbehavior as all its operations are publicly visible.
Lien vers l'événement
Ajouter à mon agenda Google
Ajouter à mon agenda (.ics)
Confiance Numerique
Jun
04
Misères des antivirus et splendeurs des malwares.
15:00
IUT Amphi B - Campus des Cézeaux - BP86 63172 Aubière
Organisé par
Guillaume Bonfante, LORIA, Nancy, France
Ecrire un logiciel de détection de malware est une vraie gageure, de type indécidable. Mais ce qui rend les choses encore plus compliquées, c’est que les écrivains de virus emploient des techniques contre des heuristiques que pourraient employer des logiciels de détection. Je présenterai au travers de cas concrêts qui ont fait les titres des journaux des observations que nous avons faites au laboratoire. Et puis, pour garder le moral, je discute de quelques expériences amusantes sur les malware.
Lien vers l'événement
Ajouter à mon agenda Google
Ajouter à mon agenda (.ics)
Confiance Numerique
Jun
04
Google Safe Browsing: Security and Privacy
15:00
IUT Amphi B - Campus des Cézeaux - BP86 63172 Aubière
Organisé par
Amirit Kumar INRIA Privatics team, Grenoble, France
Phishing and malware websites are still duping unwary targets by infecting private computers or by committing cybercrimes such as fraud and identity theft. Safe Browsing is a defensive technology which identifies unsafe websites and notifies users in real-time of any potential harm of visiting a URL. All the established web service providers such as Google, Microsoft and Yandex offer Safe Browsing as feature in their software solutions and products. Hence, knowingly or unknowingly, you are certainly one of its users. The goal of this talk is to analyze the prevalent Safe Browsing architectures through a security and privacy point of view. While, some of these services such as Microsoft Smart Screen Filter are privacy unfriendly by design, i.e. without any effort, the backend server may track a user’s activity over the web. Other players such as Google and Yandex advert in their privacy policy that their Safe Browsing architecuture does allow them to track users. This talk would prove that their privacy policy is incorrect. On the security front, our findings are rather opposite. Microsoft Smart Screen Filter is a secure solution, while Google and Yandex Safe Browsing are insecure by design. We propose several denial-of-service attacks that simultaneously affect both the Safe Browsing servers and its clients. One of our attacks allows an adversary to force Google and Yandex to “blacklist” any target benign URL
Lien vers l'événement
Ajouter à mon agenda Google
Ajouter à mon agenda (.ics)
Confiance Numerique
Apr
02
Sécurisation du cloud, schémas de recherches sur données chiffrées avancés
14:00
IUT Amphi B - Campus des Cézeaux - BP86 63172 Aubière
Organisé par
Alexandre Anzala-Yamajako Thales Communication & Security, Thales Paris, France
L’augmentation des débits de connexion a permis l’avènement du stockage de données dans le cloud qui offre de nouvelles perspectives aux utilisateurs tout en créant des problématiques complexes de sécurité liées à l’hébergement de données sensibles sur un serveur distant qui n’est pas nécessairement de confiance. Un schéma de recherche sur données chiffrées propose à un client de stocker ses données sur un serveur en dehors de son périmètre de confiance tout en conservant la possibilité d’effectuer des recherches sur ces données. La propriété de sécurité que l’on cherche à atteindre est que le serveur distant opère sans découvrir ni les requêtes ni leurs réponses. On se propose dans cet exposé de présenter les différentes techniques permettant d’atteindre ces objectifs ainsi que la gageure que représente leur mise en œuvre efficace.
Lien vers l'événement
Ajouter à mon agenda Google
Ajouter à mon agenda (.ics)
Confiance Numerique
Mar
05
De la confidentialité des votes: nouvelles métriques et constructions
15:00
IUT Amphi B - Campus des Cézeaux - BP86 63172 Aubière
Organisé par
Olivier Pereira Université catholique de Louvain (UCL), Crypto group
Le secret du vote est une exigence incontournable dans la plupart de nos élections. Ce secret n’est cependant jamais absolu : il va dépendre du format des bulletins de vote, des règles de dépouillement, du taux de participation des votants, et même de leurs choix. Qui plus est, ce secret peut être obtenu par des techniques très différentes, qui amènent généralement à différents compromis, et ce y compris dans les systèmes de vote dits “universellement vérifiables”. Dans cet exposé, nous introduisons différentes mesures de la confidentialité du vote, et illustrons leur usage dans des élections réelles. Nous introduirons aussi une nouvelle primitive cryptographique, les systèmes de chiffrement conforme à une mise en gage, et montrerons comment cette primitive peut être utilisée pour rendre des élections universellement vérifiables sans affaiblir le secret des votes, y compris à long terme. Cet exposé est basé sur des travaux réalisés avec David Bernhard, Véronique Cortier, Edouard Cuvelier, Thomas Peters et Bogdan Warinschi.
Lien vers l'événement
Ajouter à mon agenda Google
Ajouter à mon agenda (.ics)
Confiance Numerique
Mar
05
Compromis temps-mémoire cryptanalytiques appliqués aux distributions non-uniformes
14:00
IUT Amphi B - Campus des Cézeaux - BP86 63172 Aubière
Organisé par
Gildas Avoine IRISA INSA Rennes
Les compromis temps-mémoire cryptanalytiques ont été introduits par Martin Hellman en 1980 afin de réaliser des recherches exhaustives de clefs. Une avancée majeure a été présentée à Crypto 2003 par Philippe Oechslin, avec les tables arc-en-ciel qui améliorent significativement le travail original de Hellman. Après l’introduction des compromis temps-mémoire cryptanalytiques, nous présenterons durant cet exposé une technique pour améliorer l’efficacité des compromis lorsque l’on considère une distribution non-uniforme des secrets, par exemple pour casser des mots de passe.
Lien vers l'événement
Ajouter à mon agenda Google
Ajouter à mon agenda (.ics)
Confiance Numerique
Feb
05
Des signatures en blanc de toutes les couleurs
14:00
IUT Amphi B - Campus des Cézeaux - BP86 63172 Aubière
Organisé par
Les signatures en blanc ont trouvé de nombreuses applications quand de l’anonymat est nécessaire, on peut penser par exemple à des systèmes de monnaie électronique ou de vote électronique. Elles permettent à un utilisateur de faire signer un message à un signataire sans que celui-ci ne puisse obtenir d’information sur ce qu’il signe. Nous verrons comment l’approche autour des signatures en blanc a évolué, et présenterons comment obtenir un schéma à la fois optimal en terme de nombres d’étapes et efficace en terme de communication. Ensuite, nous montrerons comment un tel schéma peut être utiliser en vue d’application comme le vote, le paiement ou des opérations linéaires sur un réseau de senseurs.
Lien vers l'événement
Ajouter à mon agenda Google
Ajouter à mon agenda (.ics)
Confiance Numerique
Jan
08
