Tout a commencé à 16h avec l’ouverture des portes de la Péniche alors que certains attendait sur le quai depuis un moment déjà. Quelques binouzes plus tard, il est déjà 17h et c’est le début des conférences et l’heure des choix cornéliens : chacun des deux étages de la Péniche héberge une conférence différente. Il faut donc choisir entre deux bonnes conférences ce qui n’est pas tout le temps facile. Je n’ai malheureusement pas eu l’occasion de suivre les premières conférences car trop occupé à finalisé la conférence que j’ai présenté à 19h15.

Une fois ma conférence terminée, je peux enfin profiter totalement de l’évènement et enchainer les conférences. Tout d’abord, GeoHot : Hacking embedded devices avec des détails sur l’état de l’art du hacking de la PS3. Ensuite, cde nous a présenté le déboguer opensource xdbg qui n’atteint pas encore le niveau de IDA Pro mais semble très prometteur. Puis c’est au tour de Mathieu Suiche qui nous explique comment analyser la mémoire physique d’un mac sous leopard et fini par récupérer le mot de passe de l’utilisateur stocké dans un buffer qui n’a pas jamais été vidé par le process de logon. (Il faudra que je test ça sur mon macbook 10.6.4)

La fin des conférences permet d’aller faire un tour du côté des workshops, j’ai malheureusement raté le hack de caddie made in la grotte du barbu. Par contre, j’ai vu des gens très intéressants reprogrammer une LiveBox et Xavier de Xavbox reprogrammer des consoles de jeux. Le concept des workshops permet de créer un hacker space temporaire qui s’accorde très bien avec le reste de la soirée.

Le reste de la soirée a été partagé entre un concert rock terminé par un mix électro et les différents challenges (CTF + challenge public très varié). Pour ma part, j’ai donné quelques coup de mains à droite et à gauche et j’ai discuté avec quelques hackers qui avaient pour certains fait plusieurs centaines de kilomètres pour évènement.

Concernant HZVault, les slides de la conférence sont disponibles ici et là. La release de l’outil aura lieu dans quelques jours.

Et c’est là que les problèmes commencent. Pas pour Google, ce sont de grand enfants, ils savent quand ils vont publier, ils savent donc quand patcher leurs serveurs. Par contre, ils oublient que reveler une faille un jeudi soir [1] et juste quelques heures après que le patch ait été ajouté dans les sources Linux, c’est rendre l’ensemble des serveurs Linux vulnérable pour au moins un week-end. Et ça n’a pas manqué aucune distribution majeure n’a eu de patch prêt avant lundi.

Jusqu’à hier, on avait donc quasiment l’ensemble des Linux du monde vulnérable et avec comme seule solution de patchage des grosses bidouilles. C’est quand même assez genant, et cela est totalement opposé aux règles communement admises pour la révalation de failles de sécurité. [2]

[1] http://seclists.org/fulldisclosure/2009/Aug/0173.html

[2] http://www.wiretrip.net/rfp/policy.html