Jonathan Brossard

Jonathan Brossard
Jonathan Brossard à la conférence DEF CON à Las Végas en 2016.

Nationalité Français
Domaines Cybersécurité
Institutions Conservatoire National des Arts et Métiers
Autres activités Professeur des Universités, Ingénieur, informaticien

Jonathan Brossard est un ingénieur, chercheur en cybersécurité français, et professeur d'informatique au Conservatoire national des arts et métiers[1],[2].

Ayant fait la première démonstration d'une porte dérobée matérielle, il est reconnu comme étant un pionnier de la cybersécurité[3]. La MIT Technology Review qualifie celle-ci d'« indétectable et incurable »[4] car non décelable par un antivirus. Il publie plusieurs recherches notables lors de conférences telles que la DEF CON[5] et la Black Hat[6] aux États-Unis, en tant que directeur de la sécurité de Salesforce.

Recherches en cybersécurité

Sécurité de Bitlocker

En 2008, Jonathan Brossard présente la première vulnérabilité connue affectant le logiciel de chiffrement de disque dur Bitlocker de Microsoft à la conférence DEF CON[7]. Cette attaque générique a également affecté d'autres logiciels de chiffrement de disque dur tels que Truecrypt[8] ou encore le firmware du BIOS d'Intel[9],[10].

Porte dérobée matérielle

En 2012, Jonathan Brossard présente, sous forme de preuve de concept, un malware[11] ciblant les firmwares du BIOS et des périphériques PCI, nommé Rakshasa[12]. Il s'agit de la premiere démonstration d'une porte dérobée matérielle[13], présentée aux conférences DEF CON et Black Hat à Las Végas[3],[4],[14]. L'attaque consistait en l'inclusion un Bootkit directement dans le firmware[15], soit d'un BIOS, soit d'une carte réseau[16].

Microsoft Edge, Chrome et Windows 10

En 2015, avec l'équipe de sécurité de Salesforce, il présente à la Blackhat les premières attaques connues contre le navigateur Edge[17] de Microsoft, ainsi que contre le système d’exploitation Windows 10[18]. L'attaque à distance permettait le vol d'identifiants via Internet de manière silencieuse, indécelable pour la victime. D'autres chercheurs ont découvert que le navigateur Google Chrome était également sujet à cette vulnérabilité, via le protocole Server Message Block[19],[20].

Ingénierie inverse

Jonathan Brossard est l'auteur de la Witchcraft Compiler Collection (WCC), une suite d'outils d'ingénierie inverse présentée lors de conférences majeures en cybersécurité, notamment DEF CON, Black Hat et USENIX[21]. Ce logiciel permettant de transformer un exécutable ELF en bibliothèque partagée est disponible sur des distributions Linux telles que Debian, Ubuntu ou la distribution Kali Linux[22].

Autres recherches notables

Jonathan Brossard travaille comme expert référent pour des médias majeurs, par exemple dans le cadre du programme XKeyscore[23],[24] révélé par Edward Snowden, lors de l'analyse de programmes de surveillance de masse[25], lorsque la NSA a été accusée d'avoir piraté les e-mails du Président français Nicolas Sarkozy[26], ou encore afin d'avertir l'industrie de la possibilité avérée du piratage de voitures connectées dès 2012[27],[28].

Culture du hacking

Jeu vidéo Watch Dogs I

En 2014, Jonathan Brossard est le principal consultant en cybersécurité du jeu vidéo Watch Dogs d'Ubisoft. Il présente le jeu à la presse internationale à Chicago, avec une couverture mondiale incluant l'Australie[27], l'Allemagne[29], la France[30],[31] ou encore l'Espagne[32].

Jeu vidéo Watch Dogs II

En 2016, Jonathan Brossard a également été le consultant principal du second volet de la franchise Watch Dogs 2 et l'a présenté à la presse internationale[33],[34].

Faux article concernant Nmap publié dans le magazine Hakin9

En 2012, Jonathan Brossard, ainsi que d'autres chercheurs de premier plan ont soumis un faux article grotesque, ostensiblement généré de manière automatique par un logiciel, concernant le scanneur de ports Nmap[35], au magazine de sécurité Hakin9, afin de protester contre le spam récurrent des chercheurs en cybersécurité par ce magazine[36]. La réponse de Hakin9, qui a réagi en menaçant juridiquement l'auteur de Nmap, Gordon Lyon, est jugée si pathétique par la communauté de la cybersécurité, qu'elle a valu au magazine la remise du prix de l'échec de l'année aux Pwnie Awards en 2013.

Organisateur de conférences

Jonathan Brossard est le cofondateur des conférences internationales Hackito Ergo Sum[37],[38] et NoSuchCon[39],[40],[30]. Il participe également aux comités de sélection des conférences Shakacon (Honolulu, États-Unis)[41] et Nullcon (Goa, Inde)[42].

Voir aussi

Références

  1. ↑ « Décret du 25 mai 2021 portant nomination (enseignements supérieurs) », Journal Officiel de la République Française (Legifrance)
  2. ↑ « Page de Jonathan Brossard sur le site du CNAM », Conservatoire National des Arts et Metiers
  3. (en) « Meet 'Rakshasa,' The Malware Infection Designed To Be Undetectable And Incurable », sur Forbes
  4. (en) « A Computer Infection that Can Never Be Cured », MIT Technology Review
  5. ↑ (en) « Defcon 2016 », Defcon Conference
  6. ↑ (en) « Black Hat USA 2015 », Blackhat Conference
  7. ↑ (en) « BitLocker, Brossard's Pre-boot Authentication Research, and the BSI » [archive du ], Microsoft Security (consulté le )
  8. ↑ (en) « Bypassing pre-boot authentiation passwords by instrumenting the BIOS keyboard buffer », Defcon Conference
  9. ↑ (en) « Intel Keyboard Buffer Information Disclosure Vulnerability », Intel Security
  10. ↑ (en) Devi Thirupathi, « A Novel Method To Access BIOS Through Client Server Technology », Foundation of Computer Science (FCS), NY, USA, vol. 82, no 2,‎ , p. 15–19 (DOI 10.5120/14087-1352, Bibcode 2013IJCA...82b..15P, lire en ligne)
  11. ↑ (en) « Difficult for PC viruses to stay invisible indefinitely », Zdnet
  12. ↑ (en) « Black Hat: Researcher Demonstrates Hardware Backdoor », Dark Reading
  13. ↑ (en) Alex Matrosov, Rootkits and Bootkits: Reversing Modern Malware and Next Generation Threats, No Starch Press, (ISBN 978-1593277161), p. 259
  14. ↑ « Menace sur la sécurité des PC », Le Monde,‎ (lire en ligne)
  15. ↑ (en) « Persistent, undetectable malware presented at Black Hat 2012 », The Verge,
  16. ↑ (en) « Researcher Creates Proof-of-concept Malware That Infects BIOS, Network Cards », PC World
  17. ↑ (en) « First Vulnerability Found in Microsoft Edge, Affects Other Software as Well », Softopedia
  18. ↑ (en) « New SMB Relay Attack Steals User Credentials Over Internet », Dark Reading
  19. ↑ (en) Sayed Achmady Maryanti, « Celah Keamanan Kredensial Windows Pada Google Chrome », Jurnal Sains Riset, vol. 9, no 3,‎ , p. 18–21 (ISSN 2088-0952, DOI 10.47647/jsr.v9i3.204, lire en ligne)
  20. ↑ (en) « Google Chrome WARNING - This terrifying new HACK leaves Windows PCs open to ATTACK too », Daily Express,
  21. ↑ (en) Jonathan Brossard, Introduction to Procedural Debugging through Binary Libification, USENIX Association, (ISBN 978-1-939133-43-4, lire en ligne), p. 17
  22. ↑ (en) « The Witchcraft Compiler Collection Manual Page », Debian
  23. ↑ (en) « XKEYSCORE », The Intercept,
  24. ↑ (en) « NSA's hacking tool is apparently as easy to use as a Google search », Engadget,
  25. ↑ (en) John Naughton, « US fears back-door routes into the net because it's building them too », The Guardian,‎ (lire en ligne)
  26. ↑ « NSA: les Américains étaient-ils à l'origine de l'espionnage de l'Elysée en 2012? », L'Express,
  27. (en) « Whitehat Jonathan Brossard Warns Cars Can be Hacked on the Road », Sydney Morning Herald,
  28. ↑ (en) Guy James et Mat Greenfield, « Can driverless cars be made safe from hackers? », The Guardian,‎ (lire en ligne)
  29. ↑ (de) « Hier wird gehackt statt geballert », Focus Deutschland
  30. « " J'étais pas bon en foot, je me suis dit : "Tiens, je vais faire du hacking" " », Le Nouvel Observateur,
  31. ↑ « «Watch Dogs» pour se mettre dans la peau d'un pirate informatique », 20 Minutes,
  32. ↑ (es) Ana Pantaleoni, « 'Watch Dogs' toma Chicago », El Pais,‎ (lire en ligne)
  33. ↑ (it) « Watch Dogs 2, il videogioco sui Big Data per i Millennials », Corriere de la Sierra,
  34. ↑ « Un jeu qui pourrait devenir réalité », Le Parisien,
  35. ↑ (en) « Nmap: The Internet Considered Harmful - DARPA Inference Cheking Kludge Scanning », Hakin9
  36. ↑ (en) « Experts troll 'biggest security mag in the world' with DICKish submission », The Register
  37. ↑ (en) « Hackito Ergo Sum Team », Hackito Ergo Sum Conference,‎ (lire en ligne)
  38. ↑ (en) John Leyden, « Alternative security conferences plot European editions », The Register,‎ (lire en ligne)
  39. ↑ « Sécurité Informatique : NoSuchCon », Le Monde Informatique,‎ (lire en ligne)
  40. ↑ Raphaële Karayan, « Hacking: 'Tout ce que vous mettez sur Internet pourra être réutilisé à votre insu' », L'Express,‎ (lire en ligne)
  41. ↑ (en) « Shakacon IT Security Conference To Be Held In Hawaii In June », Dark Reading,‎ (lire en ligne)
  42. ↑ (en) « Nullcon Review Board : Profile of Jonathan Brossard », Nullcon Conference,‎ (lire en ligne)

Liens externes

  • Portail de la sécurité des systèmes d'information
Cet article est issu de Wikipédia. Sauf mention contraire, le texte est disponible sous licence Creative Commons Attribution-Share Alike 4.0. Des conditions supplémentaires peuvent s’appliquer aux fichiers multimédias.