Avec l’arrivée de nouveaux collaborateurs enrichissant notre équipe en électronique et en développement cybersécurisé de systèmes embarqués. Puis par notre déménagement sur #SaintGrégoire(35), dans le parc d’affaires Edonia.

Aujourd’hui, nous pouvons accompagner nos clients dans la maîtrise d’œuvre (AMOE) de leur prototype embarqué grâce à notre laboratoire électronique. Nous réalisons toujours des audits et tests d’intrusions, ce qui nous permets d’intervenir sur l’ensemble de l’écosystème IT et IoT, tout en évaluant le niveau de sécurité dès la conception, et ce tout au long du processus de développement.

Le confort et la qualité de travail de nos collaborateurs faisant partie de nos préoccupations, l’ensemble de l’équipe dispose d’un poste de travail confortable, d’une salle de pause équipée et adaptée à la restauration de chacun, mais aussi d’une salle de réunion avec un grand écran tactile facilitant les échanges clients et internes.

Dans la continuité de notre croissance, mais également grâce à la création de la société ACKAT LAB en juin 2021, nous tenons à vous informer que très prochainement nous ouvrons notre salle de formation pour des sessions personnalisées et catalogues allant jusqu’à 10 personnes !

En attendant de vous donner plus d’infos, nous vous souhaitons de passer un agréable été !

Objectifs

 JEU CONCOURS 

Pour cette nouvelle édition #TedxRennes2021 qui a lieu samedi, LOOTUS vous fait gagner des entrées VIP   sur LinkedIn !

(3 lots de 2 places sont à remporter pour le créneau de 15h avec accès au cocktail VIP et rencontre avec les intervenants. Les 3 premières personnes à trouver la bonne réponse remporteront alors 6 billets VIP.)

En accord avec la thématique, voici la question suivante à laquelle vous devez répondre en commentaire de ce post :

Quelle couleur caractérise LOOTUS ?

À vos palettes ! 🎨🖌

Par une approche pratique et pragmatique, venez apprendre à sécuriser l’exécution du code, protéger la propriété intellectuelle et être capable de mettre à jour son système embarqué de manière sûre par la mise en place entre autre d’une chaîne de démarrage sécurisée par l’usage de la cryptographie. Les objectifs de cette formation sont les suivants :

• Comprendre les vecteurs d’intrusion des mécanismes de communication et de mise à jour
• Concevoir la sécurité de bout en bout de la mise à jour de ses logiciels
• Appréhender la cryptographie par la pratique
• Concevoir un Bootloader avec sa chaîne de confiance
• Apprendre à déployer et mettre à disposition ses Firmware

Prérequis

Il est fortement recommandé :

• la possibilité d’installer une machine virtuelle (instruction de virtualisation activée dans le BIOS)
• 15-20 Go d’espace libre (pour déposer et déployer la machine virtuelle)
• 6-8 Go de RAM
  2 ports USB
• 1 fichier OVA pour déployer simplement la VM sera fourni
• Avoir déjà installer un outil de virtualisation (l’utilisation de Vmware Player (gratuit), Workstation (payant) ou Vmware Fusion Player pour mac (gratuit) ou (Fusion payant) est recommandé. VirtualBox peut fonctionner, mais aucune assistance ne sera apportée.

Public concerné

Ingénieurs et techniciens en charge du développement embarqué (microcontrôleur)

Moyens pédagogiques

• QCM (en début et fin de session)
• Support de cours PowerPoint (en français)
• Travaux pratiques (en cours de formation)

Programme – 3 jours

Introduction à la cybersécurité des objets connectés

• État de l’art, vocabulaire, exemple concret, références
• Présentation générale et prise de contexte
• Comprendre les menaces par le rappel des méthodes offensives employées en IoT, mais aussi en IT
• Comprendre la chaine complète

Les fondements d’une mise à jour à distance

• Les enjeux de la mise à jour à distance
• Comment gérer le processus de mise à jour en production
• Le rôle du Bootloader
• Les biens à protéger ? (confidentialité, intégrité, provenance, le retour arrière de version)
• Niveau de protection de la FLASH / RAM RDP / CRP (niveau 0,1 2…)
• Comment mettre en place un système de mise à jour sécurisé ?
• Chiffrement / signature d’un Firmware, est-ce toujours nécessaire ?
• Mise à disposition du Firmware depuis le cloud ?
• Les risques de cybersécurité liés à l’utilisation de circuits externes gérant les communications telles qu’un module Bluetooth, Wifi (clé Wifi, clé d’appairage Bluetooth, comment les protéger ?)
• L’intérêt du chiffrement de bout en bout
• Gestion de projet et gestion du risque cyber dans l’ensemble du processus (Secure by design et SDLC)

Cryptographie

• Introduction à la cryptographie
• Présentation des algorithmes Asymétrique / Symétrique / Hash
• Comment choisir un algorithme de chiffrement et s’assurer de son implémentation
• Introduction au démarrage sécurisé (Secure Boot)
• Comment stocker ses secrets (TPM, Secure Element, readback protection)
• L’entropie le secret de la cryptographie ?
• Système anti brute force (exponentiation du temps)
• Déni de service
• Espace de clés
• Algorithme de dérivation de clé
• Choix d’un mot de passe
• Attaque par dictionnaire (sel, poivre)
• Génération de nombres aléatoires (PRGN, TRGN…) : choix des clés / IV et génération de clés

TP : Manipuler la cryptographie

• Manipuler la cryptographie dans l’embarqué (C et C++) sur plateforme STM32
• Manipuler la cryptographie dans le mobile (Android)
• Manipuler la cryptographie dans le Web

TP : Déployer et mettre à disposition ses Firmwares

• Comprendre le Web, savoir identifier les principales menaces et être capable de distribuer ses Firmwares de manière sûrs
• Introduction aux vulnérabilités du monde Web
• Mettre en place un échange TLS digne de confiance (HTTPS) (gestion et déploiement de certificats)
  Comprendre et implémenter de la sécurité de bout en bout (notamment le chiffrement et la signature)

TP : Concevoir un Bootloader avec sa chaîne de confiance

• Développer son propre Bootloader sécurisé qui communique avec son cloud sécurisé
• Chiffrer, signer et mettre à disposition son propre Firmware
• Prendre en compte et implémenter les contrôles nécessaires dans l’objet connecté

Par une approche pratique et pragmatique, venez apprendre à sécuriser l’exécution du code, protéger la propriété intellectuelle et être capable de mettre à jour son système embarqué de manière sûre par la mise en place entre autre d’une chaîne de démarrage sécurisée par l’usage de la cryptographie. Les objectifs de cette formation sont les suivants :

• Comprendre les vecteurs d’intrusion des mécanismes de communication et de mise à jour
• Concevoir la sécurité de bout en bout de la mise à jour de ses logiciels
• Appréhender la cryptographie par la pratique
• Concevoir un Bootloader avec sa chaîne de confiance
• Apprendre à déployer et mettre à disposition ses Firmware

Prérequis

Il est fortement recommandé :

• la possibilité d’installer une machine virtuelle (instruction de virtualisation activée dans le BIOS)
• 15-20 Go d’espace libre (pour déposer et déployer la machine virtuelle)
• 6-8 Go de RAM
  2 ports USB
• 1 fichier OVA pour déployer simplement la VM sera fourni
• Avoir déjà installer un outil de virtualisation (l’utilisation de Vmware Player (gratuit), Workstation (payant) ou Vmware Fusion Player pour mac (gratuit) ou (Fusion payant) est recommandé. VirtualBox peut fonctionner, mais aucune assistance ne sera apportée.

Public concerné

Ingénieurs et techniciens en charge du développement embarqué (microcontrôleur)

Moyens pédagogiques

• QCM (en début et fin de session)
• Support de cours PowerPoint (en français)
• Travaux pratiques (en cours de formation)

Programme – 3 jours

Introduction à la cybersécurité des objets connectés

• État de l’art, vocabulaire, exemple concret, références
• Présentation générale et prise de contexte
• Comprendre les menaces par le rappel des méthodes offensives employées en IoT, mais aussi en IT
• Comprendre la chaine complète

Les fondements d’une mise à jour à distance

• Les enjeux de la mise à jour à distance
• Comment gérer le processus de mise à jour en production
• Le rôle du Bootloader
• Les biens à protéger ? (confidentialité, intégrité, provenance, le retour arrière de version)
• Niveau de protection de la FLASH / RAM RDP / CRP (niveau 0,1 2…)
• Comment mettre en place un système de mise à jour sécurisé ?
• Chiffrement / signature d’un Firmware, est-ce toujours nécessaire ?
• Mise à disposition du Firmware depuis le cloud ?
• Les risques de cybersécurité liés à l’utilisation de circuits externes gérant les communications telles qu’un module Bluetooth, Wifi (clé Wifi, clé d’appairage Bluetooth, comment les protéger ?)
• L’intérêt du chiffrement de bout en bout
• Gestion de projet et gestion du risque cyber dans l’ensemble du processus (Secure by design et SDLC)

Cryptographie

• Introduction à la cryptographie
• Présentation des algorithmes Asymétrique / Symétrique / Hash
• Comment choisir un algorithme de chiffrement et s’assurer de son implémentation
• Introduction au démarrage sécurisé (Secure Boot)
• Comment stocker ses secrets (TPM, Secure Element, readback protection)
• L’entropie le secret de la cryptographie ?
• Système anti brute force (exponentiation du temps)
• Déni de service
• Espace de clés
• Algorithme de dérivation de clé
• Choix d’un mot de passe
• Attaque par dictionnaire (sel, poivre)
• Génération de nombres aléatoires (PRGN, TRGN…) : choix des clés / IV et génération de clés

TP : Manipuler la cryptographie

• Manipuler la cryptographie dans l’embarqué (C et C++) sur plateforme STM32
• Manipuler la cryptographie dans le mobile (Android)
• Manipuler la cryptographie dans le Web

TP : Déployer et mettre à disposition ses Firmwares

• Comprendre le Web, savoir identifier les principales menaces et être capable de distribuer ses Firmwares de manière sûrs
• Introduction aux vulnérabilités du monde Web
• Mettre en place un échange TLS digne de confiance (HTTPS) (gestion et déploiement de certificats)
  Comprendre et implémenter de la sécurité de bout en bout (notamment le chiffrement et la signature)

TP : Concevoir un Bootloader avec sa chaîne de confiance

• Développer son propre Bootloader sécurisé qui communique avec son cloud sécurisé
• Chiffrer, signer et mettre à disposition son propre Firmware
• Prendre en compte et implémenter les contrôles nécessaires dans l’objet connecté

Cette formation sécurité des objets connectés vous présente les principales vulnérabilités possibles d’un produit connecté au niveau hardware & software et comment faire de la rétro-ingénierie pour les trouver. Nous présenterons une introduction à la sécurisation cryptographique et des outils pour vérifier la sécurité de vos produits, ainsi qu’une méthode de sécurisation de votre système dans son ensemble, du capteur à l’application cloud. La formation à distance se déroulant sous 3 jours vise à sensibiliser les participants aux risques de sécurité des objets connectés. Tout d’abord en parcourant les vulnérabilités possibles d’un produit connecté (hardware & software), puis en découvrant les bonnes pratiques de sécurisation cryptographique pour limiter les risques, mais aussi comment anticiper les risques d’attaques dès la conception et penser la sécurité du système dans son ensemble.

Prérequis

Il est fortement recommandé d’avoir une expérience en développement de logiciel embarqué. Les stagiaires devront idéalement disposer d’une expérience minimum en développement de logiciel embarqué. Une machine virtuelle sera fournie avec l’ensemble des outils déjà installés.

• • Avoir un PC/Mac portable avec :
  • VMware Player, VMware Workstation, VMware Fusion (ou Virtual Box le cas échéant)
  • Minimum 20GB d’espace libre sur le disque dur
  • 4Go de RAM minimum, 6Go de RAM recommandés
  • 2 cœurs de CPU minimum (Intel, I3, I5, I7 ou AMD équivalent)
  • 2 ports USB libres
  • Système 64 bits avec les droits d’administrations (Windows, Linux ou Mac OS)
  • Webcam, haut-parleurs, micro et liaison Internet stable

Public concerné

Développeur, architecte, intégrateur, concepteur hardware et logiciel embarqué.

Moyens pédagogiques

• • QCM (en début et fin de session)
  • Support de cours PowerPoint (en français)
  • Travaux pratiques (en cours de formation)

Programme formation sécurité des objets connectés – 3 jours

Introduction à la cybersécurité

• • Présentation de la cybersécurité IoT (état de l’art, vocabulaire, exemples concrets, références)

Cybersécurité IoT : méthodes et outils

• • Rétro-ingénierie d’une carte électronique (identification des composants, protocoles et des outils)
  • Comment accéder au logiciel et au matériel
  • Création d’une méthodologie / stratégie d’un audit de sécurité

TP : Tests d’intrusions sur un vrai système

• • Interaction avec différents bus de communication à la recherche de vulnérabilités (I²C, SPI, UART, SWD / JTAG)
  • Présentation d’OpenOCD

TP : Rétro-ingénierie d’un logiciel embarqué

• • Les bases de la rétro-ingénierie
  • Présentation des outils (Radar2, GHIDRA, BINWALK)
  • Analyse statique et dynamique de la mémoire interne

Cryptographie

• • Introduction à la cryptographie (chiffrement, signature…)
  • Présentation des algorithmes de chiffrement (asymétrique, symétrique) et de Hashage (SHA256, BCRYPT…)
  • Comment choisir un algorithme de chiffrement et s’assurer de son implémentation
  • Introduction au démarrage sécurisé (Secure Boot)
  • Comment stocker ses secrets (TPM, Secure Element, Readback Protection)
  • L’entropie le secret de la crytpographie

Attaque par force brute

• • Attaque par dictionnaire (sel, poivre)
  • Système « anti-brutforce » (exponentiation du temps, déni de service)
  • Choix de mot de passe (en ligne, hors-ligne, espace de clés)
  • Comment générer des nombres aléatoires (PRGN, TRGN…) et des secrets (clés de chiffrement…)
  • Algorithme de dérivation de clés

Les liaisons radio et canaux cachés

• • Notions d’attaques radio et de canaux cachés
  • Démonstrations de vulnérabilité

Du smartphone à l’IoT par le Cloud

• • Comment concevoir ou choisir une implémentation robuste et comment s’y prendre
    Objets communicants
  • Protocoles réseau du monde IoT (MQTT, HTTP, REST…)
  • Architectures types (découpage en service et webservice, 3G, 4G data limité consommation limitée)
  • Notion de confiance : les Backdoors des fondeurs (Intel Management Engine…) et Backdoor dans pare-feu Zyxel
  • Gestion de projet et du risque cyber dans l’ensemble du processus (Secure by design et SDLC)

Cartographie et étude de risques

• • Présentation d’une analyse de risque, de la méthode EBIOS / EBIOS RM, des outils disponibles
  • Exemple d’application sur un cas concret