Spécial - Panel Bsides Montreal 2026
19 septembre 2026
Parce que... c'est l'épisode 0x351!
Vincetopia - Deux fois sur le métier remettez votre ouvrage
06 octobre 2026
Parce que... c'est l'épisode 0x350!
SéQCure - La sécurité appliquée pour les praticiens de l'IA
16 septembre 2026
Parce que... c'est l'épisode 0x34F!
Teknik - Série l'IA dans les CtF - BreizhCTF
11 septembre 2026
Parce que... c'est l'épisode 0x34E!
Actu - 04 octobre 2026
04 octobre 2026
Parce que... c'est l'épisode 0x34D!
Teknik - Série l'IA dans les CtF - FCSC
27 août 2026
Parce que... c'est l'épisode 0x34C!
SéQCure - Souveraineté Numérique - La réalité, au-delà des campagnes de peurs
11 avril 2026
Parce que... c'est l'épisode 0x34B!
Teknik - Sécurité de l'univers OT
11 juin 2026
Parce que... c'est l'épisode 0x34A!
Actu - 27 septembre 2027
27 septembre 2026
Parce que... c'est l'épisode 0x349!
Spécial - Sur l'équilibre à trouver en entreprise autour du "Do more with less" avec l'IA et l'enjeu de la taille des modèles de langage utilisés
19 août 2026
Parce que... c'est l'épisode 0x348!
SéQCure - Faut-il porter une toge pour vraiment protéger un secret ?
24 mars 2026
Parce que... c'est l'épisode 0x347!
Parce que… c’est l’épisode 0x347!
Shameless plug
- 24 au 25 septembre 2026 - Belgique - BruCON
- 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon
- 13 et 14 novembre 2026 - Worldwide - DEATHCon
- 16 au 19 novembre - Rennes, France - European Cyber Week 2026
- 25 et 26 février 2027 - Québec, Canada - SéQCure 2027
- 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027
- I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle
- 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes
- 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte
Description
Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.
Un épisode spécial consacré à la cérémonie des clés
Dans cet épisode de Polysécure, Nicolas-Loïc reçoit Dominique Derrier et Thomas Veynachter, invités du SECUR pour une conférence sur la cérémonie des clés. L’échange s’ouvre sur une usurpation d’identité en direct qui introduit avec humour le thème de la violence technologique. Les invités ont souhaité démocratiser une notion souvent réservée aux grandes organisations, lors d’une présentation donnée dans une ancienne église désacralisée, avec une toge et une licorne.
Le processus plutôt que la technologie
Le message central des deux experts est limpide. Ce n’est pas la technologie qui garantit la confiance ultime, mais le processus qui l’entoure. Les organisations produisant des certificats avec des modules de sécurité matérielle ont besoin de ces cérémonies, et DNSSEC dispose heureusement d’un protocole garantissant la validité des signatures DNS. Mais ces principes s’appliquent aussi au quotidien, car on les oublie trop souvent.
L’époque des sharewares installés sans vérification est révolue. Les utilisateurs n’ont plus beaucoup de droits sur leurs ordinateurs en entreprise et n’ont plus envie d’installer n’importe quoi. La violence numérique sévit dans les logiciels, de plus en plus sophistiqués pour voler le contenu des machines. Même avec des EDR performants, un risque résiduel subsiste, ce qui rend le processus indispensable.
Vérifier le matériel et les logiciels
La discussion s’étend au hardware. Le matériel le moins cher arrive souvent de l’autre côté de l’océan, sans que personne ne vérifie son firmware. On prend pour acquis que tout fonctionnera, alors que des caméras transmettent des images vers des destinations inconnues. Le premier démarrage d’un ordinateur neuf peut constituer la première source d’infection. Des moyens simples existent pourtant, comme les commandes SHA256 qui permettent de vérifier qu’on installe bien la chose attendue. Mais cela reste insuffisant, car le site du fournisseur lui-même peut avoir été piraté.
Chiffrement, intégrité et menace quantique
Dans un monde numérique, le chiffrement constitue la seule façon de valider la viabilité de ce qu’on manipule. L’attaque dite harvest now, decrypt later est bien réelle, car les capacités de déchiffrement n’existent pas encore mais existeront, et des secrets protégés aujourd’hui pourront être révélés demain. L’animateur distingue les secrets éphémères, comme un numéro de carte bancaire expiré d’ici là, des secrets durables comme les dossiers médicaux. Il observe avec ironie que ceux qui détiennent des secrets à long terme se préparent le moins au quantique.
Les intervenants identifient trois grandes phases dans l’évolution du numérique. D’abord, il fallait que les systèmes fonctionnent. Ensuite, des lois ont protégé la confidentialité des données. Aujourd’hui, l’enjeu majeur est l’intégrité, qu’il s’agisse de garantir que ce qui est envoyé arrive intact ou que le matériel n’a pas été altéré. À l’heure de l’intelligence artificielle et de l’IoT, cette intégrité doit être assurée en entrée, pendant le traitement et en sortie, sans qu’aucun acteur malveillant n’insère son outil de détournement au milieu.
Un contexte géopolitique tendu
Il y a une quinzaine d’années, Nicolas-Loïc téléchargeait sans se préoccuper des conséquences et pouvait raisonnablement croire sa machine à l’abri. Depuis, plusieurs pays hébergent des acteurs hostiles cherchant à extraire la richesse d’autres nations. L’hostilité entre pays atteint un niveau jamais vu depuis la Seconde Guerre mondiale, où la machine Enigma représentait le sommet de la protection des communications. Là où il y a de l’argent à se faire, il y aura des voleurs, et la valorisation démesurée des entreprises technologiques attire les attaquants tandis que le petit vol numérique reste souvent impuni.
Authenticité des messages et confiance transitive
Thomas soulève un défi majeur. Avec les deepfakes, il faut désormais maîtriser l’authenticité du message reçu. Comment vérifier que la personne en face est bien celle qu’elle prétend être, surtout quand un message est délivré par quelqu’un qui n’existe pas. Les réponses manquent encore, mais la question doit être posée collectivement.
L’animateur ressuscite pour sa part de vieux sujets réservés aux passionnés. PGP et son Web of Trust reposaient sur des rencontres dans le monde réel pour signer les clés, permettant une confiance transitive. Si je connais quelqu’un qui a signé votre clé, je peux vous faire confiance. Dominique rappelle la théorie des sept personnes de confiance, ce qui rend ce réseau mathématiquement atteignable. Signal illustre une approche moderne, où le changement d’appareil est visible par tous car les clés changent, offrant une vérification d’identité intégrée.
Protéger les secrets les plus critiques
Les invités abordent aussi la protection des secrets organisationnels. Qui possède le mot de passe root du tenant chez le fournisseur infonuagique, et combien d’administrateurs faut-il pour le supprimer ? Un seul, c’est anormal. Le split knowledge et le dual access s’imposent, exigeant au minimum deux personnes pour agir. Thomas note que cette question n’existait pas avec les serveurs sur site. Un mot de passe root ne devrait jamais servir aux opérations courantes, et si tel est le cas, c’est le signe d’une gestion des accès défaillante.
Nicolas-Loïc rappelle que la technologie existait déjà dans les années 90, lorsque RSA proposait un découpage de clés exigeant un quorum. Les mathématiques sont prêtes, avec des méthodes élégantes comme le partage de secret de Shamir, mais l’appétit commercial tarde, comme pour les certificats TLS, longtemps coûteux avant leur démocratisation dans les navigateurs.
Des fondations centenaires
Les intervenants citent Kerckhoffs, dont les principes élaborés au dix-neuvième siècle fondent encore la cryptographie moderne, une référence que l’animateur cite souvent. Dominique conclut que l’identité numérique reposera sur ces principes, déjà appliqués dans certains pays où l’on signe des documents avec sa carte d’identité. Il faut finalement se faire violence, non pas celle des attaquants, mais celle de suivre les processus rigoureux pour protéger ce qui compte vraiment.
Notes
Contributeurs
|
|
|
Nicolas-Loïc Fortin
|
Thomas Veynachter
|
Dominique Derrier
|
Crédits
- Montage par Intrasecure inc
- Locaux réels par ???
Tag: crypto
