sécurité

A la découverte d’Android

JUG Android

Le JUG (Java User Group) Toulousain vous donne rendez vous mardi 6 Octobre, à partir de 18h dans l’amphi U3 de l’Université de Toulouse Rangueil.

Les deux thèmes techniques suivants seront abordés lors de cette rencontre :

1. Introduction générale à Android, par Florent GARIN, co-fondateur de DocDoku, société de conseil IT innovante, éditrice de la solution éponyme Open Source de gestion collaborative de documents.

Florent est également auteur du livre “Android : développez des applications mobiles pour les Google Phones“. Durant cette première partie, vous pourrez ainsi découvrir le fameux système d’exploitation dont tout le monde entend parler depuis plusieurs mois…

Les nouveaux téléphones portables à écran tactile de type iPhone disposent, comme les ordinateurs, d’un système d’exploitation. Google a souhaité créer son propre OS mobile afin de booster l’innovation dans le monde de la téléphonie mobile. Pour se faire, il s’est associé à une trentaine d’entreprises pour créer Android. Ce système comporte d’ores et déjà une vingtaine d’applications installées par défaut dont les plus connues sont : You Tube, Gmail, Google Maps. Vous pouvez également voir la vidéo de présentation d’Android. Une mise à disposition rapide d’un kit de développement pour les applications tierces est prévue, afin de permettre de les traiter à l’identique des applications de base.

Cette initiative est la bienvenue, lorsque l’on sait que le fameux iPhone d’Apple ne permet pas toujours d’installer des applications tierces sans recourir à des solutions plus ou moins légales et pratiques…

Ce livre a donc un but pédagogique visant à faciliter le développement d’une application fonctionnant sous Android. C’est un guide indispensable qui accompagne le lecteur depuis le téléchargement du SDK : Software Development Kit, jusqu’au déploiement du programme sur le téléphone.

2. Durant la seconde partie de soirée, une présentation de Google App Engine vous sera faite par Nicolas FONROSE, co-fondateur d’A2-Artal Innovation. Société spécialisée dans le conseil et la formation IT et Agile.

Ce service propose une mise en ligne des sites dynamiques développés avec Python, sans se préoccuper de l’hébergement. Cela nécessite seulement quelques secondes de réalisation et semble presque plus simple qu’un déploiement de site en PHP qui nécessite l’utilisation d’un client FTP. Google fournit une offre tout compris et gratuite pour les sites de tailles moyennes.

Les thèmes abordés au cours de cette soirée vous intéresse, alors inscrivez vous en envoyant un mail avec votre nom et prénom à : contact@jugtoulouse.org

Un firewall pour WordPress

un firewall pour wordpress Voici un plugin bien particulier, c’est un firewall censé contrer les attaques de hackers. WordPress est de loin le moteur de blog le plus populaire et le plus utilisé sur la toile, et comme toutes les applications web, il est victime de son succès, ainsi les hackers s’intéressent à lui de plus en plus, et le risque de voir son blog hacké grandit de jour en jour, et c’est là que ce plugin intervient :

Son fonctionnement est basé sur l’analyse des requêtes en direction de votre blog et la détection de celles qui vous veulent du mal, ainsi les requêtes suspectes (liste des attaques bloquées par ce plugin) sont bloquées, et une notification vous est envoyée par email, un bon moyen de mesurer sa popularité chez les hackers :-) .

Il propose la possibilité de renseigner une whitelist d’adresses IP (la votre par exemple pour les tests), ainsi que d’autres options bien pratiques…

Pour le télécharger c’est par ici.

Quelques exemples basiques d’attaque sur une application web

La plupart des failles de sécurité ont une source commune : un excès de confiance envers des données étrangères. Ces données peuvent être envoyées par un visiteur, récupérées d’une régie publicitaire, d’un prestataire qui lui-même peut être victime d’une faille de sécurité, …

Il est primordial de toujours s’assurer que les données reçues soient valides avant tout affichage ou stockage (bdd, fichier, …) sans quoi l’application devient potentiellement vulnérable.

Je décris dans la suite du post les failles de sécurité les plus courantes mais la liste est loin d’être exhaustive, on pourrait effectivement y ajouter :

  • Le spam
  • Cache Poisonning
  • Cross-User Defacement
  • Attaque de type DOS (denis de service)
  • CRLF injection

En cas de doute sur une application, des logiciels existent pour aider le développeur à débusquer certaines failles qu’il aurait pu laisser par inadvertance. On peut citer par exemple le logiciel gratuit d’audit Wapiti (ici) ou l’application d’IBM Rational Appscan (ici).

Continue reading “Quelques exemples basiques d’attaque sur une application web”