J’ai enfin pu assister au Symposium sur la Sécurité des Technologies de l’Information et de la Communication (SSTIC) qui se déroule chaque année à Rennes.

Si parmi mes lecteurs, il y a des personnes intéressées par des comptes rendus sur les conférences, elles peuvent aller directement sur les blogs suivants :

– n0secure

– Ma petite parcelle d’Internet

– Mon premier blog

– Le blog perso d’Ozwald

Vous trouverez également de très belles photos ici. Pour m’y reconnaître, c’est très simple: j’ai un badge autour du cou 😉

J’ai découvert le SSTIC il y a quelques années seulement, grâce à la lecture du blog de Sid. Chaque billet sur le sujet me donnait envie d’y aller pour découvrir l’univers de la sécurité informatique (un rêve d’enfant). Depuis deux ans, j’essaye d’avoir une place pour y assister, mais j’arrive toujours quelques heures après l’ouverture de la vente, et comme beaucoup de monde s’arrache les places, l’affaire est pliée.

C’est pourquoi, quand j’ai reçu un email de Benjamin Morin, membre du comité d’organisation du SSTIC 2012, me demandant si j’acceptais de venir faire une conférence invitée sur le thème de l’expertise judiciaire, après quelques hésitations liées à mon pseudonymat et au fait que je prenais fatalement la place d’un conférencier plus spécialisé sécurité, mon envie d’y assister l’a emporté, et j’ai accepté.

J’arrive donc le mardi soir dans un hôtel du centre ville et le symposium commence pour moi par un repas au restaurant « Léon Le Cochon » avec tous les conférenciers et le comité d’organisation. J’y arrive relativement intimidé, mais mes voisins de table de table me mettent à l’aise et les discussions vont bon train autour de l’univers de la sécurité. Mon apprentissage peut commencer.

Le soir, je me couche sagement à une heure raisonnable, mais je comprends alors pourquoi l’hôtel fournit des boules quies avec les savons et autres lustrants chaussures : ma chambre se trouve côté rue à 50m de la rue de la soif…

Jour 1.

Je suis à l’heure à la première conférence relatant les 20 ans de PaX. Je suis l’un des seuls de l’amphithéâtre de 500 places à ne pas connaître ce produit. La conférence est très technique, en anglais et l’orateur est en costard avec une cravate. Je commence à flipper pour ma conférence du lendemain… Je lis en direct les commentaires sur Twitter et n0secure me sauve avec son résumé de la conférence en live.

Je reste concentré toute la matinée sur les concepts présentés par les différents conférenciers SSL/TLS, Netzob, RDP : je me sens clairement comme à l’école, en train d’apprendre, et j’aime ça.

Je prends seul mon premier repas car personne ne me connait et je suis trop réservé pour m’imposer avec mon plateau auprès des visages que je reconnais. Le SSTIC est un lieu où beaucoup de personnes prennent plaisir à se rencontrer, à se remémorer des souvenirs et des anecdotes, et le temps est court entre les présentations. Les discussions sont donc joyeusement animées.

Le campus de Rennes-Beaulieu est assez terne avec son béton défraichi, mais il est magnifiquement arboré. Je m’y promène sous une petite pluie que j’aime et qui ajoute à ma mélancolie.

L’après-midi s’écoule comme la matinée, studieuse : WinRT, « l’information, capital immatériel de l’entreprise » et « audit des permissions en environnement Active Directory », Windows 8…

La journée s’achève par une conférence effectuée par les créateurs du SSTIC, Nicolas Fischbach, Frédéric Raynal et Philippe Biondi, SSTIC dont nous fêtions les 10 ans cette année. La présentation était truffée d’anecdotes et de clins d’œil, j’ai adoré. Au passage, c’est très intéressant de découvrir l’histoire du SSTIC et comment les pouvoirs publics ont pu s’intéresser de près à cette conférence. A lire ici.

De mon côté, je souhaite faire une répétition de mon intervention du lendemain, donc je rentre tôt, je mange un sandwich dans ma chambre et je bosse mes enchainements.

Jour 2.

Je passe une matinée mémorable, que je détaille dans ce billet, mais qui m’empêche d’assister aux conférences, et en particulier aux résultats du challenge du SSTIC. Ce sera mon plus grand regret de cette édition du SSTIC.

A 14h45, je suis cramponné à mon micro et je reçois un accueil chaleureux des participants. Ce sera mon meilleur souvenir du SSTIC 2012 !

A 16h45 démarre quelque chose à laquelle il faut avoir assisté une fois dans sa vie : la « Rump session ». Il s’agit, pour qui le souhaite (et ils étaient 20), de faire une présentation en 3 mn maximum ! La salle écoute silencieusement pendant qu’un chronomètre affiche le temps à la vue de tous. Si le conférencier tient le public en haleine, la consigne est de ne pas applaudir à la fin des 3 mn, ce qui laisse encore 30s au conférencier pour terminer. Si le conférencier ne passionne pas la foule, il est interrompu sans pitié à 3’00 » par un tonnerre d’applaudissements. C’est très cruel, mais très efficace. J’aimerais parfois utiliser ce système pour certaines présentations de nos hommes et femmes politiques…

Certaines présentations étaient vraiment bien, d’autres, disons, un peu commerciale…

19h, Guinness time. Mes jambes retrouvent un peu de leur solidité. Discussions avec Erwan de n0secure et Jean-Philippe Gaulier de l’OSSIR.

A 20h, autre moment fort du SSTIC, le « Social Event ». Un cocktail dinatoire où tout le monde peut discuter avec tout le monde. C’est un moment que j’ai vraiment apprécié, d’autant plus que cette fois tout le monde avait vu ma bobine et pouvait venir discuter avec moi. J’ai aussi enfin pu approcher Sid, Fred Raynal, Nicolas Fischbach et plein d’autres.

1h du matin, me voici rue de la soif, à boire une bière offerte par Sid, puis dans un bar à boire du champagne jusqu’à 3h du matin en refaisant le monde. C’est ce que j’appelle la belle vie. Couché 4h.

Jour 3.

Petite nuit mais je suis à l’heure pour la première conférence. Curieusement, j’ai un peu mal aux cheveux. Je reste concentré jusqu’au repas que je prends entouré de cracks de l’ANSSI. Je me tiens au courant des évolutions de la sécurité au sein des structures de l’Etat. Pas facile, car ces personnes sont entrainées pour résister aux interrogatoires sous la torture 😉

Les conférences de l’après-midi sont intéressantes, mais la petite nuit pèse un peu sur ma concentration.

16h30, fin du SSTIC, je m’éclipse doucement.

Ce que j’ai apprécié :

Une ambiance studieuse mais décontractée, des conférences pointues, une organisation impeccable.

Les regrets :

– Ne pas avoir pu retenir toutes les associations visage/pseudo des personnes que j’ai réussi à rencontrer. C’est très étrange de rencontrer IRL des personnes dont on suit les écrits sur leurs blogs.

– Ne pas avoir su consacrer du temps à toutes les personnes qui souhaitaient me rencontrer. J’ai appris par la suite que certains n’avaient pas osé venir vers moi, soit parce que j’étais déjà en train de discuter, soit parce que j’étais seul aux pauses…

– Ne pas avoir pris le temps de discuter avec Benjamin Morin et ses collègues de l’organisation, mais c’est toujours difficile de monopoliser le temps de ces personnes pendant le symposium.

– Enfin, ne pas avoir eu le temps de conclure mon exposé par la lecture d’un passage que j’avais repéré dans les actes du SSTIC 2012. Cela me semblait une excellente conclusion pour faire un pont entre la
sécurité informatique et l’expertise judiciaire informatique. Je vous la livre maintenant :

Tout le monde a soif de liberté et de Justice. Maintenant, je vais vous lire un passage de la préface des actes du symposium (livre à la main) :

« Mais nous devons surtout lutter contre la grande délinquance, dont la faille DuQu est le meilleur exemple. Nous allons devoir être fort, regarder en face DuQu, retrousser nos manches et bouger DuQu pour que ce fléau ne se reproduise plus jamais. S’il le faut, nous utiliserons l’appareil législatif et nous sortirons les lois DuQu. »

Je vous remercie.

😉

PS : Je vous mets ici en téléchargement les visuels utilisés pour ma conférence, y compris les quatre derniers que je n’ai pas eu le temps de projeter parce que je suis un grand bavard.