Nous avions un talk d’une heure sur notre outil IpMorph et nous avons présenté à la fois nos objectifs et notre solution technique.

Pour une première édition, chapeau ! Réussir à faire venir les pointures avec qui nous avons passés 3 jours est déjà une réussite. Évidemment c’est toujours facile de critiquer mais je ne m’aventurerais pas sur un tel terrain, il vaut mieux encourager de telle initiative et espérer qu’elles se pérennisent avec le temps . Quel plaisir de voir la scène sécurité française s’enrichir de tels évènements.

Quelques interventions techniques vraiment intéressantes (hormis la notre évidemment ) et un Richard STALLMAN toujours au sommet de son art ! Les « slides » des présentations sont là.

Quelques photos et retours sur le web, à la fois sur la conférence et sur notre intervention :

• un retour du premier jour sur le « blog » de notre ami Bruno KEROUANTON (http://bruno.kerouanton.net/blog/2009/09/06/frhack-in-live/) avec même le 19-20 et le journal de France 3;
• un retour de la conférence sur le site de p3lo (http://attackvector.lescigales.org/2009/09/14/frhack01-2009-resume-nothing-is-secure-but-we-can-try-together/) avec quelques photos;
• le retour de linkou (http://pentester.fr/blog/index.php?post/2009/09/22/Compte-Rendu-FRHack-%22Does-anyone-have-a-beer-for-me%22) ;
• l’info du CNIS mag (http://www.cnis-mag.com/frhack-besancon%E2%80%99s-security-conference.html);
• l’impression d’Emmanuel FLEURY (http://emfleury.free.fr/index.php?post/2009/10/08/Frhack-2009-et-IPMorph);
• le retour de Xavier sur son blog (http://blog.rootshell.be/2009/09/08/frhack_01-day-two/);
• …

Pour nous c’est le mardi 8 septembre à 15h00. L’occasion d’approfondir notre premier « jet » de SSTIC 09 à Rennes en Juin dernier et de rentrer dans le détail technique des modes opératoires des différents outils tels que Nmap, SinFP, Xprobe2, p0f, Ring/CronOS, …

On fera bien entendu un compte rendu et un mini-reportage photo sur cette expédition (on peut pas toujours être à 2h00 du Landerneau de la sécurité française).

Le résumé de la conf. :

Il existe aujourd’hui pléthore d’outils d’identification de piles TCP/IP qui permettent d’identifier relativement aisément le système d’exploitation des cibles pressenties. Lors de cette présentation, nous montrerons que la dissimulation et la mystification d’empreinte sont possibles uniformément face aux différents outils de prise d’empreinte connus. Pour ce faire, nous avons réalisé IpMorph, un outil logiciel de contre-reconnaissance sous la forme d’une pile TCP/IP en mode utilisateur qui assure le suivi de session et la réécriture des paquets à la volée.

Nous détaillerons son fonctionnement et son usage face à des outils tels que Nmap, Ring et SinFP. Aussi bien au niveau actif qu’au niveau passif, notre approche consiste à unifier toutes les signatures des sondes au sein d’une seule base de personnalités. Le paramétrage de la pile IpMorph (aussi bien au niveau de ses attributs que de ses branchements algorithmiques) est effectué depuis ces personnalités.

Nous présenterons les concepts et l’architecture d’IpMorph ainsi que quelques focus techniques sur certaines de ses spécificités. Entre autres, nous détaillerons les points les plus épineux de la réalisation d’IpMorph: la difficulté d’inverser certains informations de signatures, de respecter les contraintes temporelles, et de garantir la transparence du procédé.