Schedule

### Register here ###

Thursday June 11

HeureConfDescriptionLangue
8h00Accueil

8h25Mot de bienvenue

(Michel Cusin)

8h30Suis-je un criminel ?

(Alain Rioux)

Qu'est-ce qui est "légal" ? Qu'est-ce qui ne l'est pas ? Les infractions au Code Criminel du Canada en matière de piratage informatique ne sont pas si nombreuses, mais couvrent une variété d'activités : hameçonnage, "social engineering", intrusions, attaques "ddos" ou même les "scans". Saviez-vous que depuis mars dernier, quelqu'un pouvait se faire accuser de "possession d'outil de piratage" ? Quels sont les risques pour le spécialiste en sécurité, le "pentesteur", le "bon samaritain" ?Fr
9h10A la défense du citoyen - Le "North American Cyber Defense Network"

(Éric Parent)

Imaginez un monde où les gestionnaires de nos grandes entreprises sont motivés à agir de façon responsable et honnête. Quel vent de fraîcheur cela nous apporterait ! Voici quelques uns des ingrédients critiques qui agiront comme catalyseur et motivateur. À l’endroit même où notre gouvernement et sénat ont échoué (volontairement même), la communauté des "hackers" va reprendre une partie du contrôle et redonner le pouvoir au citoyen. Le North American Cyber Defense Network vient d'être lancé et ceci va changer la sécurité dans toutes les entreprises qui n'ont pas encore pris le sujet au sérieux et qui n'ont pas un programme de divulgation anonyme ou volontaire des failles de sécurité. Fr
9h30"Solving the evil (needle) in the haystack problem using data stacking"

(Deepak Nuli)

The talk will discuss the tools and techniques used to identify anomalies in log files collected from large number of endpoints (>10,000 hosts) to identify malware seen in real life targeted compromises. The talk will also focus on non-signature based analysis of several sources of evidence such as services, registry, Windows application compatibility shimcache (AppCompat) logs, and process listing. En
10h30Pause Bi
11h00Le Raspberry Pi : Un outil pour la sécurité?

(Guy Talbot)

"Le Raspberry Pi. Originalement conçu pour rendre disponible un ordinateur à très faible coût pour encourager l'apprentissage de la programmation informatique, le Raspberry Pi s'est développé en un écosystème très large autant sur le plan matériel que logiciel. En effet, cet ordinateur de la taille d'une carte de crédit est utilisé dans des centaines de projets pour des utilisations très variées et même surprenantes. Cette présentation débute par un peu d'histoire, présente les caractéristiques techniques et les qualités qui font du Raspberry PI une plateforme intéressante pour la sécurité. Nous ferons finalement un survol des projets utilisant ce remarquable nano-ordinateur avec un regard plus poussé sur les projets qui sont en lien avec la sécurité."Fr
12h00DinerTrouvez-vous un p'tit resto sympathique, il y en plein autour...Bi
13h30Comprendre la détection des menaces au niveau CPU.

(Sébastien Ferreira)

Les technologies récentes de Sandboxing ont grandement améliorées la détection des menaces de sécurités mais de nombreuses attaques demeurent tout de même indétectables en raison de leur capacités à évader les systèmes d’émulation. Des nouvelles technologies de détection des menaces voient le jour permettant de détecter et d’éliminer les menaces directement au niveau du CPU, donc à l’extérieur du système d’exploitation limitant ainsi grandement les capacités d’évasion des malwares modernes. Discussion sur ces nouvelles techniques.FR
14h30Blockchain(bitcoin): la plus grande invention depuis l’internet?

(Julien Mbony et Patrick Roy)

"Le Bitcoin est une monnaie électronique universelle et un système de paiement décentralisé qui permet à ses utilisateurs d’avoir le contrôle de leurs fonds tout en préservant leur vie privée et ce, sans passer par une institution bancaire. Ce réseau pair à pair fait beaucoup jaser à cause de l’aspect monétaire, mais qu’en est-il de sa technologie révolutionnaire? Au cours de cette présentation, nous allons explorer plusieurs applications qui sont en développement sur le « Blockchain » pour répondre aux différents enjeux sur la vie privée, la sécurité informatique, la liberté, la transparence, etc. De plus, il sera question de l’impact potentiel de cette technologie sur certains modèles d’affaires et sur notre façon de communiquer sur Internet."Fr
15h30PauseBi
16h00Compter des moutons pour s’endormir ou se faire endormir comme des moutons?

(Michel Cusin)

Êtes-vous confortable avec le fait que les fournisseurs d'accès Internet, les autorités, les gouvernements, les services de renseignement (NSA, SCRS, etc.) ont les moyens technologiques et légaux, d’espionner tout ce que vous faites sur Internet? Et ce, en vertu de quoi? De la protection contre le (cyber) terrorisme? De la sécurité nationale? Est-ce que cette surveillance de masse qui est de plus en plus présente est réellement justifiée et acceptable? Que pouvons-nous faire? Comment pouvons-nous tenter de protéger notre vie privée? Y a-t-il des façons de faire et des moyens de défense technologiques à notre disposition? L’idée n’est pas de mettre en place des stratégies pour se cacher afin de commettre des actes illégaux, mais bien de se donner les moyens de sauver un droit fondamental que nous perdons peu à peu : Le droit à la vie privée. Et à ceux qui disent qu’ils n’ont rien à cacher et que tout ça ne les dérange pas, voici une citation de Edward Snowden : «Arguing That You Don't Care About The Right To Privacy Because You Have Nothing To Hide Is No Different Than Saying You Don’t Care About Free Speech Because You Have Nothing To Say » . Fr
17h005 à 7Détails à venirBi

Friday June 12

HeureConfDescriptionLangue
8h30AndroSSL: Un outil pour tester la sécurité des connexions dans les applications Android

(François Gagnon)

Avant la prolifération des appareils/applications mobiles, les développeurs n’avaient pas à se soucier d’utiliser correctement SSL/TLS et les certificats X.509 pour établir des connexions sécurisées. À cette époque (Ah, le bon vieux temps!), le tout était géré par les navigateurs web. On peut présumer que les développeurs travaillant sur les connexions sécurisées dans un navigateur web étaient sensibilisés à la sécurité. Et pourtant, les 10 dernières années nous ont montré que même ces gros joueurs font des erreurs lors de l’utilisation de SSL/TLS. Alors, que se passe-t-il lorsqu’on demande à presque tous les développeurs d’applications mobiles de travailler eux-mêmes sur la sécurité des connexions établies par leurs apps ? Ça donne des résultats plutôt inquiétants. Dans cette présentation, il sera brièvement question des grandes lignes de la mécanique de validation des certificats SSL. Par la suite, l’outil AndroSSL que nous avons développé sera présenté. AndroSSL permet de tester automatiquement si une application Android valide bien les certificats SSL qu'elle reçoit (ou si elle expose ses usagers à du vol d’information sensible par une attaque man-in-the-middle). L’objectif principal d’AndroSSL est de permettre aux développeurs de tester la sécurité de leurs applications mobiles sans avoir à faire eux même des tentatives de MitM. Finalement, les résultats préliminaires (mais assez juteux) d'une étude en cours sur la qualité des implémentations SSL dans les applications Android existantes seront présentés. Si les dieux le permettre, une démo aura lieu. Fr
9h30Honeypot for Fun !

(Alexandre Argeris)

Savez-vous ce qu’est un honeypot? Cette présentation vous présentera les différents types d’honeypot et les scénarios de déploiement. Vous apprendrez aussi comment créer, en quelques clics, un ou plusieurs honeypots un peu partout sur le web en utilisant les fournisseurs d’infrastructure cloud pour seulement quelques dollars par année. La présentation vous dressera un portrait des différentes informations que vous pourrez recueillir avec ce type de solution.Fr
10h30Pause Bi
11h00Comment améliorer votre défense en intégrant le Threat Intelligence avec Open IOC, STIX, TAXII…

(davg)

"Les menaces sont de plus en plus sophistiquées et vous avez de nombreux outils provenant de différents fournisseurs. Votre industrie ou votre pays s’est créé un réseau d’échange sur les menaces. Comment y accéder et bénéficier d’une meilleure défense? Une initiative de Threat Intelligence peut s’avérer payante rapidement ou un trou sans fin, alors, comment en bénéficier rapidement et ne pas s’enfoncer? Nous verrons un exemple de comment transformer le threat intelligence en actions qui prévient ou confine les menaces. Alerte: Peu contenir du code Python et du XML...beaucoup de XML..."Fr
12h00DinerAlias: "Beer time!"... ;-)Bi
13h30La menace cybernétique pour l'aviation: Séparons la fiction de la réalité.

(Éric Parent & Jayson Agagnier)

Présentation de vrais exemples concrets, ainsi que les mesures de sécurité mises en place par l'industrie pour assurer la sécurité aérienne. Deux experts de l'industrie de l'aviation nous présentent l'état actuel des technologies utilisées pour sécuriser les aéronefs du sol, jusque dans les airs. Récemment, le FBI a appréhendé un "hacker" le soupçonnant d’avoir pris le contrôle de certaines technologies dans un avion commercial. Ceci a vivement fait réagir l'industrie de l’aéronautique ainsi de celle de la sécurité. Nous allons donc passer au peigne fin cette histoire, et également vous simuler quelques attaques ainsi que leurs vrais résultats. Votre participation sera même requise pour certaines simulations. Présentation bilingue (Partie en anglais, partie en français)Fr/En
14h30

What's New Pussycat: Recent Additions to Powercat (Mick Douglas)

Powercat brings netcat functionality to Windows PowerShell. This modular tool allows pentesters to quickly bypass anti-virus, firewalls, and other network defenses. Attendees of this talk will learn about the current features, the experimental modules, and planned future developments.En
15h30Mot de la fin

(The BSQC Crew)

[email protected]:~# poweroff