octobre 8th, 2019

La prochaîne BH de Londres suit la tendance à la « hardisation » de la sécurité. Ca commence avec une présentation de Leigh-Anne et Tim Yunusov sur le thème « comment j’explose la limite des payements sans contact avec un cellulaire bloqué ». Pour faire bonne bouche, quelques failles sur la génération des clefs et autres mécanismes prétendument aussi inviolables qu’aléatoires.

De son côté, Asuka Nakajima reprend une vieille rengaine sur les IoT perclus de failles, et en tire des variations sur les versions OEM des objets en question. Une sorte de « fuzzing des marques et des repackaging », assisté par un outil open source baptisé « OEM Finder ». Mme Nakajima est notamment connue pour avoir créé le « CTF for Girls ».

On y croisera également « Limited Results » qui tirera un festival de vulnérabilités autour de l’ESP32. Des vulnérabilités issues de son propre travail notamment, mais également une revue de détail des trous qui ont affecté cette plateforme et fait couler beaucoup d’encre ascii ces derniers mois. On ne peut que penser aux recherches d’Eduardo Garbelini, certaines de ses publications étant accompagnées de preuves techniques disponibles sur Github.