HackFest Decade : ambiance et rencontres multipliées par 10 pour les 10 ans

Le plus grand rendez-vous dédié au Hacking Ethique d’Amérique du Nord s’est tenu à Quebec, les 2 et 3 novembre 2018. ZATAZ y était. Retour sur un rendez-vous incontournable qui fêtait ses 10 ans.

Conférences, ateliers, CTF … Le Hackfest Decade, organisé les 2 et 3 novembre 2018 à Quebec avait de quoi ravir les centaines de visiteurs passés par les différents villages mis en place dans les murs de l’hôtel Jarod. A quelques kilomètres des remparts du Vieux Quebec, les amateurs de sécurité informatique (étudiants, professionnels, forces de l’ordre, armée, chercheurs, …) ont pu découvrir cette année plusieurs nouveautés qui ont connu un franc succés. Je vais débuter par ce qui nous est le plus proche, un Confessionnal ZATAZ spécial Canada. 28 alertes m’ont été apportées par des « anonymes ». Sur les 28, 12 concertaient des fuites de données visant des boutiques en ligne ou des entreprises grand-public. Sur les 12 entreprises impliquées, 5 contenaient des informations appartenant à des Européens. Autant dire que même de l’autre côté de l’Atlantique, le RGPD est « censé » s’appliquer. « Ça va être très compliqué à l’Europe d’agir, me souligne une autorité locale. Sans véritable préjudice locale, cela ne risque pas de bouger beaucoup !« .

CTF informatique et social engineering

Parmi les nouveautés de cette 10ème édition, en plus des CTF pour amateurs confirmés et débutants, un « Missing Persons CTF« . Ce « Capture The Flag » était organisé pour montrer une fois de plus que la technologie dépasse le simple outil de bureau. Ce CTF avait pour but non seulement de mettre à l’épreuve le talent des participants, mais aussi de récolter un maximum d’informations pour la recherche de personnes disparues. Une initiative étonnante qui avait déjà fait ses preuves, en juillet 2018 à Toronto. Les informations collectées ont été fournies aux autorités compétentes pour les aider dans leurs enquêtes en cours. « Une mise en commun de l’intelligence humaine, souligne Patrick R. Mathieu, co-fondateur du Hackfest de Québec. Mettre tout les talents et les connaissances pour retrouver des personnes disparues.« .

A noter aussi de belles rencontres lors du Social Engineering contest. Votre serviteur y a participé. L’idée de ce CTF, appeler au téléphone une entreprise « cible » et extraire un certains nombre de données sensibles afin de montrer les danger de l’ingénierie sociale (SE). Pour la petite histoire, j’ai du m’occuper d’une très importante banque canadienne. En 25 minutes, extraction par téléphone d’informations auprès d’employés piégés. Bilan, 15 flags (drapeaux, cibles précises) interceptés sur 20. Parmi les informations qu’il m’a été possible d’apprendre : le nom de l’entreprise en charge des déchets « sensibles » de la banque, avec le nom, la date de collecte, la couleur des sacs employés, … Toutes les informations collectées ont été transmises aux entreprises respectives pour les prévenir des potentielles failles découvertes. « Le but de ce concours, c’est de sensibiliser. indique Patrick Mathieu. Ainsi, les entreprises comprennent qu’elles sont extrêmement vulnérables à ce genre de fraude.« .

Des rencontres, de la passion… et de la poutine

Comme vous avez pu le vivre sur Twitter, en live, une dixième édition pleine d’énergie, de passion, de rencontres… et de poutine (plat local fusionnant viande, frite, sauce et fromage). Parmi les conférences, le rendez-vous « étatique » avec la Ministre Karina Gould. Les Canadiens étaient particulièrement heureux d’entendre un politique parler de hacking autrement que par l’entremise d’un fait divers. De belles évolutions peuvent s’attendre entre les cybercitoyens et les politiques locaux. Il faut dire aussi que les prochaines élections importantes dans le pays se tiendront dans 1 an. Un rendez-vous passionnant avec Geneviève Lajeunesse, Directrice des opérations à Crypto.Québec et Steve Waterhouse, ancien sergent du département de la défense nationale.

Très drôle, le retour sur 10 ans de hackfest par les créateurs de ce rendez-vous. On a pu y apprendre comment ils ont croisé, un jour, des « hackers » courir nus dans les couloirs … « Ou encore, la police, courir après certains participants qui avaient quelques comptes à rendre avec la justice. » Dans les deux cas « très étonnant, en pleine nuit« , s’amusent-ils.

Conférences techniques au top

Côté technique, et parmi les dizaines de conférences, retour passionnant sur l’utilisation de GPU pour l’inspection de trafic réseau par Martin Dubois. L’analyse et le traitement des paquets s’effectuent en utilisant OpenCL. Une flexibilité absolument inégalée. Cheryl Biswas est revenue sur les botnets. « Nous constatons une évolution dans les réseaux de zombies. confirme l’experte. L’impact de Mirai, il y a deux ans a sensibilisé l’opinion, mais la publication du code Mirai a créé une nouvelle armée de réseaux de zombies capables de réaliser plus que de simples DDOS. ». Il y a de sérieux concurrents avec des améliorations inattendues à la recherche de nouvelles recrues pour travailler dans les mines de bitcoins. Autant dire qu’elle a su être convaincante quand elle est revenue sur cette arsenalisation qui rencontre l’automatisation. « Les États-nations s’emparent tout doucement du pouvoir des « script kiddies » et fabriquer un bot n’a jamais été aussi facile. » confirme la chercheuse.

Village numérique

Passionnant aussi les villages mis en place lors de ce HackFest Decade. Les partenaires, mais aussi les passionnés venus parler de leur projet à l’image du « jeu » P4r4 Risque. Une plateforme qui ressemble à un jeu de plateau très connu, mais qui s’est orienté, en lieu et place de vendre et acheter des gares, dans la sensibilisation à la cyber sécurité par le ludique. Je vous en parle d’ailleurs dans ma chronique du 5 novembre 2018, sur Weo TV.

Bref, un Hackfest décade qui n’a plus rien à envier au géant de la discipline. Plus humain et souriant que le Defcon, le HackFest est monté par une bande de passionné(e)s. « Ca nous oblige à bloquer le nombre de place, confirme les organisateurs. Et nous réfléchissons toute l’année à préparer les nouveautés ». En conclusion… vivement le HackFest 11.

PS : Merci à Gdata, Cabinet d’avocats Desmarais , IS Decisions et à YesWeHack pour leur soutien.