Lorsque nous développons un site, des critères de sécurité très élevés doivent être respectés. Chacun de nos développement se fait avec une équipe possédant un expert sécurité, qui, lors de chaque étape du développement procède à des vérifications drastiques du code source.
De plus, tous nos développements passent une phase de test étendue, qui a pour but de déceler toutes les anomalies fonctionnelles ou graphique.

Coeur applicatif

Nos équipes possèdent des connaissances de pointe sur de nombreuses technologies open-source :
- Zend Framework, framework de développement permettant une maintenabilité efficace du code source
- Magento, CMS e-commerce nous permettant de gérer rapidement le déploiement de votre boutique et d’y ajouter les fonctionnalités nécessaires

Haute technicité

Selon tous les collaborateurs de Wargan Solutions, notre caractéristique principale en ce qui concerne le développement est la « très haute technicité des équipes » ainsi que notre « connaissance pointue des problématiques de sécurité ».

Le fait que nous intervenions régulièrement pour de grands acteurs (Radio, Banque, Multinationale, etc…) ou pour diverses PMI-PME nous permet d’avoir une excellente connaissance des problématiques métiers de chacun et donc d’aider efficacement au processus décisionnel en matière de développement.

Votre présence sur le web doit s’accompagner d’un design soigné et unique.
La créativité, l’originalité de votre site sont des valeurs qui nous sont chères chez Wargan Solutions. Nous pensons qu’un site doit aussi bien se démarquer techniquement, grâce à un développement performant, sécurisé, qu’avec un design clair, intuitif, et ergonomique.

L’alliance d’une charte graphique cohérente et de fonctionnalités faciles à prendre en main vous permet de posséder un site qui sera facilement modifiable, modulable, et ayant un fort impact sur ses visiteurs. Dans le cadre d’un site e-commerce, l’ergonomie de votre site vous permettra de maximiser votre taux de transformation.

Favoriser l’expérience utilisateur, alléger au maximum la processus d’achat, vous permettent de favoriser et de conditionner l’acte d’achat dès la première visite.

Chez Wargan Solutions nous utilisons des méthodes de gestion de projet éprouvées et des conceptions normalisées afin de garantir des délais de livraisons contractuels.

Au cœur du projet: le client

Nous utilisons sur tous nos développements de nombreux outils, qui permettent de collaborer avec nos clients de manière efficace.
Toutes les étapes du développement sont découpées en tâche, et, à n’importe quel moment, nos clients voient l’avancement de leur développement.

La communication est l’axe primordial lors d’une réalisation, notre volonté est d’apporter à chacune des problématiques de nos clients une solution performante et adéquate.

Nous effectuons également des audits en interne sur les solutions open-source les plus répandues au monde (Forum, Blog, E-commerce, etc…) afin d’intégrer dans notre outil de veille les failles découvertes par nos chercheurs.

Vous pouvez retrouver quelques une de nos découvertes sur securityfocus par exemple ou dans la rubrique actualité.

Cet audit vous permet d’estimer les risques encourus si un pirate venait à réussir à s’infiltrer sur votre réseau (rebond depuis l’extérieur, piratage de votre Wi-fi, etc…) ou jusqu’où pourrait remonter un employé malveillant sur votre réseau.

De ce fait l’intégralité de votre infrastructure est auditée:

• Analyse des zones DNS
• Recensement des machines présentes sur votre range
• Recensement des services présents sur les serveurs
• Tentative de rebond sur les IPs locales
• Analyse des serveurs web
• Analyse des firewalls (WAF et physique)
• Analyse des services présents sur les serveurs (ftp, smtp, serveur web, DNS, mods apache, Php, Mysql, etc…)
• Analyse de l’applicatif hébergé
• Toute ce qui appartient à votre système d’information et potentiellement contactable depuis l’extérieur

Ce test est pratiqué avec la plus grande rigueur, c’est l’audit le plus large possible pratiqué depuis l’extérieur. Il fait intervenir tous les vecteurs possibles d’intrusion dans votre système d’information.

Ceci dit, il est important de préciser que le test applicatif se suffit à lui même pour auditer une application. L’audit de code met généralement l’accent sur les best-practices en terme de développement, la mise en place de security token XSRF, et autres…

Le choix de cette prestation peut également s’opérer sans test d’intrusion préalable. Elle embarque tacitement un test d’intrusion afin d’exploiter ce que nous relevons dans le code.

Dans le cadre d’audits applicatifs web, nous testons tout d’abord les failles web les plus largement exploitées (top 10 vulnerabilites – 2010)

• Injections (SQL Injection, Blind SQL Injections)
• XSS (cross-site scripting)
• Mauvaise authentification et étanchéité des sessions
• Absence de contrôle de session ou de variable (LFI)
• CSRF (Cross site Request forgery)
• Mauvaise configuration de la sécurité
• Mauvaise gestion des URLs protégées
• Redirections invalides
• Mauvais stockage cryptographique
• Mauvaise protection des transferts des données

S’ajoutent à cela:

• La collecte d’information applicative et métiers
  • Path disclosure
  • Découverte des versions logiciels
  • Découverte des versions CRM / CMS / ERP
• Les failles découvertes au jour le jour par les chercheurs internationaux en sécurité informatique que nous mettons quotidiennement à jour grâce à notre activité de veille.
• Les failles découvertes par notre équipe recherche qui sont connues et exploitables uniquement par Wargan Solutions
• La réalisation de POC (proof of concept) pour les failles découvertes lors de l’audit
• Un méthode interne précise d’optimisation de la découverte de failles basée sur un scanner développé par Wargan Solutions qui permet de recenser le maximum de pages disponible.
• La rédaction d’un rapport précis contenant les failles, leur criticité, les méthodes d’enrayement, et autres. Consulter notre partie méthodologie.

Il est important de noter que contrairement à d’autre société nous ne nous cantonnons pas à exécuter un scanner de vulnérabilités. Nous réalisons l’audit à la main, testons chacune des possibilités et exécutons à la fin un scanner (développé par Wargan Solutions) afin de nous assurer que nous n’avons rien oublié. Ainsi les deux axes d’investigation sont réalisés.

Cheminement méthodologiquement d’un audit de sécurité au sein de Wargan Solutions:

1. Suite à votre prise de contact, nous établissons ensemble le périmètre du projet. Tout d’abord nous mettons un point d’honneur à cerner l’intégralité des enjeux du client. Un audit ne doit pas être envisagé seul mais replacé dans son contexte client.
2. Une fois les problématiques cernées, nous vous proposons le type d’audit ou de test qui correspond le mieux à votre besoin. Plusieurs points peuvent orienter notre choix:
   • Les besoins et enjeux clients.
   • Le caractère d’urgence de l’intervention, un audit qui fait par exemple suite à un piratage du client doit être réalisé rapidement et avec toutes les méthodes permettant de gagner du temps.
   • Les volontés et directives du RSSI
3. Nous rédigeons conjointement un ordre de mission. Nous précisons dedans le périmètre d’action, les machines à auditer, les outils que nous utiliserons, les mesures d’urgences et ainsi de suite.
4. Nous réalisons l’audit en respectant ce que nous avons énoncé en point 3. Nous testons tous les processus d’attaque, réalisons une collecte d’information et surtout maximisons les intervenants sur l’audit. En effet, sur un développement maximiser les intervenants peut-être dangereux, sur un audit c’est à chaque fois fortement positif. Chaque consultant a une méthode, une technique, une analyse qui lui est propre.
5. Nous rédigeons le rapport d’audit. Ce rapport sera le document de référence (client – Wargan Solutions) afin d’évoquer la sécurité du réseau. Il contient (non exhaustif):
   • Le périmètre du projet
   • La méthodologie employée
   • Les informations que nous avons pu collecter sur votre système d’information (et qui devraient donc potentiellement être masquée)
   • L’intégralité des tests qui nous avons réalisés sur votre infrastructure / application (et qui ont aboutis, ou non)
   • Les failles que nous avons pu recenser:
     • Nous estimons leur criticité
     • Nous estimons leur difficulté d’exploitation
     • Nous estimons leur difficulté de correction
     • Nous réalisons un POC (proof of concept) pour la faille
     • Nous vous expliquons comment patcher cette faille
     • Nous vous expliquons à quels dommages peut aboutir une telle faille
   • Nous évoquons ensemble les procédures de sécurité mise en place et comment nous avons pu les contourner (WAF, XSRF Security Token, …)
   • Nous concluons sur la sécurité global de l’applicatif / infrastructure audité en lui attribuant une note et en annotant l’intégralité des procédures à mettre en place (au délà du correctif des failles), pour augmenter la note.
6. Nous vous proposons un rendez vous pour vous expliquer des points qui pourraient vous sembler obscures à la lecture du rapport.

Si notre méthode semble correspondre à vos attentes, cliquez ici pour accéder à nos audits de sécurité et tests d’intrusion.

Ce modèle est ancien et tend à être remplacé par des softs utilisant le GPU (Graphics Processing Unit) – en gros le microprocessuer de la carte graphique. Nvidia a proposé (depuis quelques temps maintenant) un SDK nommé CUDA démocratisant efficacement la conception de logiciels axées sur l’utilisation de la puissance de calcul proposé par nos GPUs. J’avais réalisé il y a quelques temps un comparatif de logiciels de bruteforce basés sur GPU ayant pour base un encodage en MD5.

La puissance de calcul mise à disposition par les GPUs n’est en rien comparable à celle permise par les CPUs. Lors de mon comparatif, sur une machine avec une CG ATI Radeon HD 4870, j’avais réussi à pousser un bruteforce à 1 066 Millions hash par seconde ! (sans SLI)

Pourquoi alors continuer à documenter et à utiliser John the ripper ? Simplement parce que la complexité de développement de logiciels basés sur GPU fait que pour le moment très peu de logiciels existent, et ceux qui existent ne permettent quasiement que de casser du MD5.

Je me suis donc documenté pour améliorer les performances d’un John the Ripper vieillissant et j’ai découvert qu’il existait un diff proposé par bindshell.net permettant de gérer le multi-core grace à Open-MPI.

A l’instar du comparatif que j’avais fait à l’époque, je vous propose celui de John the ripper mono-core / multi-core et les méthodes d’installation et d’utilisation.

Consulter le comparatif