Montreal chapter past meetings

Autres nouvelles - 5 décembre 2013 - OWASP Top 10 - Risques en sécurité applicative

• PRÉSENTATEURS PRINCIPAUX: Jonathan Marcil
• RÉSUMÉ: Présentation du nouveau OWASP Top 10 2013. L'objectif principal du Top 10 de l'OWASP est de sensibiliser les développeurs, concepteurs, architectes, décideurs, et les entreprises aux conséquences des faiblesses les plus importantes inhérentes à la sécurité des applications web. Le Top 10 fournit des techniques de base pour se protéger contre ces domaines problématiques à haut risque – et fournit des conseils sur la direction à suivre.
• BIO: Jonathan Marcil est consultant en sécurité des applications Web et leader du chapitre OWASP de Montréal. Il est concepteur de défi pour NorthSec, une compétition de sécurité informatique technique et conseiller sur le sujet sécurité de la conférence de technologies Web ConFoo à Montréal. Il possède plus de 10 ans d'expérience en technologie de l'information et développement Web avec un penchant pour la sécurité.
• QUAND: 6 décembre 2013
• OÙ: ASIMM - 5 à 7 technique

OWASP Montréal - 2 décembre 2013 - OWASP Top 10 et ISO/IEC 27034 – Sécurité des applications

• PRÉSENTATEURS PRINCIPAUX: Luc Poulin et Jonathan Marcil
• RÉSUMÉ: Cette nouvelle norme propose aux organisations de toutes tailles un modèle pour faciliter l’intégration de la sécurité tout au long du cycle de vie des applications. La norme 27034 est destinée aux gestionnaires, équipes de réalisation et d’exploitation, clients et fournisseurs d’applications et auditeurs qui doivent concevoir, planifier, implanter, gérer et vérifier la sécurité des applications. La conformité à cette norme résulte en la diminution du risque par réduction des vulnérabilités des applications. Suite à la dernière présentation sur le sujet, celle-ci introduira le projet OWASP officiel qui produira des contrôles de sécurité applicatifs (CSA) basé sur le Top 10 d'OWASP sous le format de la norme.
• BIO: M. Poulin compte plus de trente années d'expérience en informatique, durant lesquelles il a acquis une solide expertise en technologie des systèmes et en génie logiciel. Il se spécialise en gestion, implantation et évaluation de la sécurité globale de systèmes informatiques, à l'intérieur d'environnements de développement et d’opération d'applications. Il est corédacteur de la norme ISO/IEC 27034 – Sécurité des applications. Jonathan Marcil est consultant en sécurité des applications Web et leader du chapitre de Montréal. Il possède plus de dix ans d'expérience en technologie de l'information et développement Web avec un penchant pour la sécurité. Il est concepteur de défi pour NorthSec, une compétition de sécurité informatique technique et conseiller sur le sujet sécurité de la conférence de technologies Web ConFoo à Montréal.
• QUAND: 2 décembre 2013
• OÙ: École de technologie supérieure, 1100 rue Notre-Dame ouest, Montréal, Salle: A-1150
• INSCRIPTION: http://owasptop10iso27034.eventbrite.ca
• WEBCAST: Sera disponible en direct sur YouTube
• ÉQUIPE ACADÉMIQUE: ETS - DCI http://dciets.com/
• PROGRAMME:

18:00-18:30 Réseautage
18:30-18:35 Mot de bienvenue par le leader du chapitre (Jonathan M.)
18:35-19:30 Présentation principale : OWASP Top 10 et ISO/IEC 27034 – Sécurité des applications
19:30-20:00 Discussion ouverte
20:00-...   Fin de la rencontre dans un pub

OWASP Montréal - 11 novembre 2013 - ISO/IEC 27034 – Sécurité des applications

• PRÉSENTATEUR PRINCIPAL: Luc Poulin
• RÉSUMÉ: Cette nouvelle norme propose aux organisations de toutes tailles un modèle pour faciliter l’intégration de la sécurité tout au long du cycle de vie des applications. Ce modèle comprend des objets et des processus qui complètent ceux déjà en place dans l’organisation et s’insèrent dans les pratiques courantes de gouvernance, de gestion et d’opération, telles que le SGSI proposé par la norme ISO/CEI 27001, les processus ITIL et ISO/CEI 12207, les pratiques de sécurité OWASP et PCI-DSS, etc. La norme 27034 est destinée aux gestionnaires, équipes de réalisation et d’exploitation, clients et fournisseurs d’applications et auditeurs qui doivent concevoir, planifier, implanter, gérer et vérifier la sécurité des applications. La conformité à cette norme résulte en la diminution du risque par réduction des vulnérabilités des applications.
• BIO: M. Poulin compte plus de trente années d'expérience en informatique, durant lesquelles il a acquis une solide expertise en technologie des systèmes et en génie logiciel. Il se spécialise en gestion, implantation et évaluation de la sécurité globale de systèmes informatiques, à l'intérieur d'environnements de développement et d’opération d'applications. Il est un membre du groupe de travail canadien WG D – Security Controls and Services au sous-comité sur la sécurité de l’information (SC 27) du comité conjoint ISO JTC 1, et corédacteur de la norme ISO/IEC 27034 – Sécurité des applications.
• QUAND: 11 novembre 2013
• OÙ: École de technologie supérieure, 1100 rue Notre-Dame ouest, Montréal, Salle: A-1150
• INSCRIPTION: http://www.eventbrite.ca/event/9006250939
• WEBCAST: http://www.youtube.com/watch?v=AAHG_oB9iEU
• SLIDES: https://speakerdeck.com/owaspmontreal/iso-iec-27034-securite-des-applications-par-luc-poulin
• ÉQUIPE ACADÉMIQUE: ETS - DCI http://dciets.com/
• PROGRAMME:

18:00-18:30 Réseautage
18:30-18:35 Mot de bienvenue par le leader du chapitre (Jonathan M.)
18:35-19:30 Présentation principale : ISO/IEC 27034 – Sécurité des application
19:30-20:00 Discussion ouverte
20:00-...   Fin de la rencontre dans un pub

OWASP Montréal - 7 novembre 2013 - Vulnérabilités liées au téléversement de fichiers

Attention! Présentation spéciale sur l'heure du midi

• PRÉSENTATEUR PRINCIPAL: Philippe Arteau
• RÉSUMÉ: Le téléversement de fichiers fait partie intégrante des applications web modernes. Qu'il s'agisse d'images ou de documents, plusieurs risques guettent l'acceptation de fichiers provenant d'un utilisateur. Les attaques les plus communes seront présentées allant de simples "webshells" à des problèmes de configuration plus poussés liés au "same orgin policy".
• BIO: Philippe est conseiller en sécurité applicative pour le Groupe Technologies Desjardins. Au quotidien, il s'occupe d'effectuer des tests d'intrusions et des revues de code pour des applications utilisées par Desjardins. Il a découvert des vulnérabilités importantes dans plusieurs logiciels populaires comme Google Chrome, DropBox, ESAPI et Jira.
• QUAND: 7 novembre 2013 à 12h30
• OÙ: École Polytechnique de Montréal, 2500 chemin de Polytechnique, Montréal (Québec) H3T 1J4, pavillon Lassonde, Salle : M-2204
• INSCRIPTION: https://www.eventbrite.ca/event/8944847279
• WEBCAST: http://www.youtube.com/watch?v=mo10to3JNBY
• SLIDES: https://speakerdeck.com/owaspmontreal/vulnerabilites-liees-au-televersement-de-fichiers-par-philippe-arteau
• ÉQUIPE ACADÉMIQUE: Polytechnique - Polyhack http://polyhack.org/
• PROGRAMME:

 12h30-12h40 Accueil
 12h40-12h45 Introduction
 12h45-13h25 Présentation principale
 13h25-13h35 Questions

OWASP Montréal - 24 octobre - Authentification à deux facteurs pour services Web

• PRÉSENTATEUR PRINCIPAL: Alexandre Rimthong
• RÉSUMÉ: Qu'est-ce que l'authentification à multiples facteurs et comment l'implanter dans un service web? La présentation fera d'abord un bref survol sur les principes d'authentification et les stratégies mises en place dans l'industrie. Par la suite, nous plongerons dans deux exemples concrets en utilisant des technologies gratuites ou peu coûteuses avec Google Authenticator et Yubikey.
• BIO: Consultant TI dans une coopérative de solidarité se spécialisant dans le développement Web et la continuité des opérations de jour, amateur de sécurité et gladiateur des hackothons locaux la nuit. On le retrouve normalement à contribuer dans des projets de données ouvertes ou dans un projet de startup s'il n'est pas dans une compétition de sécurité ou de programmation. Présentement au sein de l'équipe OWASP Montréal, via l'équipe académique de l'UQAM.
• QUAND: 24 octobre 2013 à 18h00
• OÙ: Pavillon Président-Kennedy 201, Avenue du Président-Kennedy, J2X 3Y7 Local PK-1630
• INSCRIPTION: https://www.eventbrite.ca/event/8182818029
• WEBCAST: http://www.youtube.com/watch?v=1h7Dp23zfpA
• SLIDES: https://speakerdeck.com/owaspmontreal/authentification-a-deux-facteurs-pour-services-web-par-alexandre-rimthong
• ÉQUIPE ACADÉMIQUE AGEEI-UQAM - http://www.ageei.org/
• PROGRAMME:

18:00-18:15 Accueil
18:15-18:20 Mot de bienvenue par le leader du chapitre (Jonathan M.)
18:20-19:00 Présentation principale : Auth. à deux facteurs
19:00-19:15 Période de questions

OWASP Montréal - 12 septembre - OWASP Top 10 2013

Attention! Présentation spéciale sur l'heure du midi

• PRÉSENTATEURS PRINCIPAUX: Sébastien Gioria et Jonathan Marcil
• RÉSUMÉ: Présentation du nouveau OWASP Top 10 2013. L'objectif principal du Top 10 de l'OWASP est de sensibiliser les développeurs, concepteurs, architectes, décideurs, et les entreprises aux conséquences des faiblesses les plus importantes inhérentes à la sécurité des applications web. Le Top 10 fournit des techniques de base pour se protéger contre ces domaines problématiques à haut risque – et fournit des conseils sur la direction à suivre.
• BIO: Sebastien Gioria est consultant sénior en Sécurité des Systèmes d'Informations spécialisé en Sécurité des Applications , Chapter Leader de l'OWASP pour la France(https://www.owasp.org/index.php/France), membre du OWASP Global Education Committee et membre du CLUSIF(http://www.clusif.fr). Il a une expérience de plus de 15 ans dans la sécurité des Systèmes d’Informations au sein de postes techniques ou à responsabilité dans des banques, assurances, telecoms. Jonathan Marcil est consultant en sécurité des applications Web et leader du chapitre de Montréal. Il est concepteur de défi pour NorthSec (https://www.nsec.io), une compétition de sécurité informatique technique et conseiller sur le sujet sécurité de la conférence de technologies Web ConFoo(http://confoo.ca/) à Montréal. Il possède plus de 10 ans d'expérience en technologie de l'information et développement Web avec un penchant pour la sécurité.
• QUAND: 12 septembre 2013
• OÙ: École Polytechnique de Montréal, 2500 chemin de Polytechnique, Montréal (Québec) H3T 1J4, pavillon Lassonde, Salle : L-1710
• INSCRIPTION: https://www.eventbrite.ca/event/8179640525
• WEBCAST: Sera disponible en direct sur YouTube https://www.youtube.com/owaspmontreal
• ÉQUIPE ACADÉMIQUE Polytechnique - Polyhack http://polyhack.org/
• PROGRAMME:

 12:30-12:45 Accueil
 12:45-12:50 Mot de bienvenue par le leader du chapitre (Jonathan M.)
 12:50-13:30 Présentation principale : OWASP Top 10 2013
 13:30-13:45 Période de questions

OWASP Montreal - August 19th - MontréHack Web4kids

• MAIN PRESENTER: Jonathan Marcil
• ABSTRACT: WORKSHOP FORMAT, bring your laptop to play with Web and Trivia problems for beginners and intermediates. Theses exercises were part of the challenge Web4kids held at NorthSec 2013. It is composed of fourteen (14) challenges that will lead the participant to understand the basics of Web security weaknesses and practice the usage of diverse tools.
• BIO: Jonathan is the leader of OWASP Montreal and a Challenge designer at the NorthSec computer security competition.
• WHEN: August 19th 2013
• WHERE: Notman House, 51 Sherbrooke west, Montreal, QC H2X 1X2
• REGISTRATION: https://www.eventbrite.ca/event/7400161081
• SPONSOR: Community partners MontréHack and NorthSec
• PROGRAM:

 18:00-18:05 Presentation of community partner MontréHack (Olivier B.)
 18:05-18:30 Setup and help by Chapter Leader Jonathan M. and Chapter board member Laurent D.
 18:30-20:00 Workshop Web4kids
 20:00-21:00 Demonstration of some solutions and Q&A
 21:00-...   End of the meeting in a pub

OWASP Canada - August 7th - Bug Bounty Program for the Web

• MAIN PRESENTER: Raymond Forbes, Web Security Engineer, Mozilla Corporation
• ABSTRACT: This talk will look at the Mozilla bug bounty program and how it has helped with web security. We will be looking at the history of the program, how it is set up, some successes and common concerns.
• BIO: Raymond has been a web security engineer with Mozilla since 2011, and is visiting OWASP Vancouver chapter from Seattle, WA.
• WHEN: August 7th 2013
• WHERE: Live streaming from Mozilla Vancouver
• WEBCAST: http://www.youtube.com/watch?v=VZHp5Ssi67U
• SLIDES: https://speakerdeck.com/owaspmontreal/bug-bounty-program-for-the-web-by-raymond-forbes
• SPONSOR: Chapter partner OWASP Vancouver
• PROGRAM:

 18:00-18:15 Canada Chapters Talk
 18:15-19:15 Main presentation: Bug Bounty Program for the Web

OWASP Montreal - July 3rd - Linux/CDorked

• MAIN PRESENTER: Olivier Bilodeau
• ABSTRACT: Presentation on the largely publicized threat: Linux/CDorked. We will explain in detail the behavior of the malware, discuss its variants and the impact of these new types of threats on the distribution of malware. Then, we will talk about detection, prevention and the likely cause of exploitation leading to infection and why the OWASP community should care about this new server-side malware threat type.
• BIO: Coming from the dusty Unix server room world, Olivier evolved professionally in networking, information security and open source software development to finally become malware researcher at ESET Canada. Presenting at Defcon, publishing in (In)secure Mag, teaching infosec to undergrads (ÉTS), driving the NorthSec Hacker Jeopardy and co-organizer of the MontréHack training initiative are among its note-worthy successes.
• WHEN: July 3rd 2013
• WHERE: École Polytechnique de Montréal, 2500 chemin de Polytechnique, Montréal (Québec) H3T 1J4, pavillon #4 J.-Armand-Bombardier (JAB), Salle : J-1035
• WEBCAST: http://www.youtube.com/watch?v=R_-JI6xZXWQ
• SLIDES: https://speakerdeck.com/owaspmontreal/cdorked-by-olivier-bilodeau http://obilodeau.github.io/slides/linux-cdorked/owasp-mtl-201307/
• SPONSOR: ESET Canada
• PROGRAM:

 18:00-18:30 Networking
 18:30-18:32 Welcome speech by Chapter Leader (Jonathan M.)
 18:30-19:30 Main presentation: Linux/CDorked
 19:30-20:00 Open discussion
 20:00-...   End of the meeting in a pub

OWASP Montréal - 22 mai - Injections LDAP

• PRÉSENTATEUR PRINCIPAL: Laurent Desaulniers
• RÉSUMÉ: Présentation sur les injections LDAP. Cette courte présentation décrira les différents types d'injection LDAP, les subtilités au niveau des filtres et les différentes technologies de LDAP. La présentation sera aussi complémentée d'exemples tirés de la compétition NorthSec, afin de démontrer les différents exploits.
• BIO: Laurent Desaulniers est un passionné de sécurité informatique. Il a présenté au Hackfest, au colloque RSI et à OWASP. M. Desaulniers détient les certifications CISSP, CISM, CISA et OSCP.
• QUAND: 22 mai 2013
• OÙ: École de technologie supérieure, 1100 rue Notre-Dame ouest, Montréal, Salle: A-1350
• WEBCAST: http://www.youtube.com/watch?v=-H_ppnQeBIo
• SLIDES: https://speakerdeck.com/owaspmontreal/injections-ldap-by-laurent-desaulniers
• COMMANDITAIRES: Lieu : ETS - Communauté : NorthSec
• PROGRAMME:

 18:00-18:30 Réseautage
 18:30-18:32 Mot de bienvenue par le leader du chapitre (Jonathan M.)
 18:32-18:35 Présentation du partenaire de communauté NorthSec
 18:35-19:30 Présentation principale : Injection LDAP
 19:30-20:00 Discussion ouverte
 20:00-...   Fin de la rencontre dans un pub

OWASP Montreal - March 25th - Drupal Security

• MAIN PRESENTER: Ben Jeavons
• ABSTRACT: Drupal is an open-source web application that powers over 2% of the web and like any other application is at risk for attack. This talk will cover a range of topics about Drupal and security, including the state of Drupal and security, the process and goals of Drupal’s Security Team, and API’s and best-practice configuration for maintaining a secure site.
• BIO: Ben Jeavons is a software engineer at Acquia, a company providing products, services, and technical support for Drupal. Ben is a member of Drupal Security Team and co-author of the Drupal Security Whitepaper.
• WHEN: March 25th, 2013
• WHERE: Phéromone, agence d'interactions - 75, rue Queen, suite 3100 Montreal (Qc) H3C 2N6
• WEBCAST: https://www.youtube.com/watch?v=dC-TjZkMTk8
• SLIDES: https://speakerdeck.com/owaspmontreal/drupal-security-by-ben-jeavons
• REGISTRATION: http://www.eventbrite.ca/event/5707605602
• SPONSORS: Main sponsor: Acquia - Venue sponsor: Phéromone - Community partner: Drupal Montreal
• PROGRAM:

 18:00-18:30 Networking
 18:30-18:32 Welcome speech by Chapter Leader (Jonathan M.)
 18:32-18:35 Presentation of community partner Drupal Montreal (Pierre Paul L.)
 18:35-19:30 Main presentation: Drupal Security
 19:30-20:00 Open discussion
 20:00-...   End of the meeting in a pub

OWASP Montreal Hangout - February 28th - Demystifying web cache

• MAIN PRESENTER: Kristian Lyngstøl
• ABSTRACT: This talk will discuss caching from app server to web browser. Subjects like s-maxage vs. max-age, little known obscurities around the Vary header and more will be covered. The talk focuses on using simple, safe strategies that don't lead to information leakage even when things go wrong. There will be some Varnish-specific tips and tricks.
• BIO: Kristian has been breaking things and fixing them again for most of his life. He's a C, Java, AWK, perl, python and misc programmer and spends his day working with Varnish Cache. He wrote most of the Varnish Book used for professional Varnish training because someone had to do it.
• WHEN: February 28th, 2013
• WHERE: Online on OWASP Montreal Official YouTube Channel http://www.youtube.com/user/owaspmontreal
• WEBCAST: http://www.youtube.com/watch?v=5Sy7n5J7b1U
• SPONSORS: Venue sponsor / Community partner: ConFoo
• PROGRAM:

 13:30-13:32 Quick welcome speech by Chapter Leader (Jonathan M.)
 13:32-13:35 Quick presentation of community partner ConFoo
 13:35-14:25 Main presentation: Demystifying web cache

Slides : https://speakerdeck.com/owaspmontreal/demystifying-web-cache-by-kristian-lyngstol

OWASP Montreal - OWASP at ConFoo 2013 - Come see us at the community table

February 27th to March 1st 2013

OWASP will be represented at the conference with some of the talks and a small team of OWASPers will be on the communities booth in the sponsors area to chat with people and give out some swags.

The following people will be present :

• Philippe Gamache (OWASP Montreal)
• Antonio Fontes (OWASP Geneva)
• Sébastien Gioria (OWASP France)
• Sherif Koussa (OWASP Ottawa)
• Jonathan Marcil (OWASP Montreal)

If you are around come see us!

• WHEN: February 27th to March 1st 2013
• WHERE: ConFoo - Hilton Montreal Bonaventure 900 de La Gauchetière West, Montréal
• REGISTRATION: ConFoo conference registration is mandatory
• SPONSORS: Thanks for OWASP Global for all the promotional stuff
• PROGRAM: We will be at the table from time to time. Thursday night a community cocktail will be open to all.

OWASP Montreal - February 26th - Secure Coding pour Java

• MAIN PRESENTER: Sébastien Gioria
• ABSTRACT: Ce talk est une introduction au Secure Coding pour Java. Il s'efforcera de présenter via différents matériels OWASP les bonnes pratiques permettant de développer de manière pragmatique une application java sécurisée. Nous aborderons aussi bien des pratiques fonctionnelles que des morceaux de codes java à erreurs et leur correctifs.
• BIO: Sebastien Gioria est consultant senior en Sécurité des Systèmes d'Informations spécialisé en Sécurité des Applications , Chapter Leader de l’OWASP pour la France(http://www.owasp.fr), membre du OWASP Global Education Committee et membre du CLUSIF(http://www.clusif.fr). Il a une expérience de plus de 15 ans dans la sécurité des Systèmes d’Informations au sein de postes techniques ou à responsabilité dans des banques, assurances, telecoms.
• WHEN: February 26th, 2013
• WHERE: École de technologie supérieure, 1100, rue Notre-Dame ouest, Montréal, Room: A-2330
• WEBCAST: http://www.youtube.com/watch?v=uHAJwQar3C0
• REGISTRATION: http://www.eventbrite.ca/event/5439571906
• SPONSORS: This meeting has no sponsor - Community partner : Montréal Java User Group
• PROGRAM:

 18:00-18:30 Networking
 18:30-18:40 Welcome speech by Chapter Leader (Jonathan M.)
 18:40-18:45 Presentation of community partner Montréal Java User Group
 18:45-19:45 Main presentation: Secure Coding pour Java
 19:45-20:00 Open discussion
 20:00-...   End of the meeting in a pub

Slides : https://speakerdeck.com/owaspmontreal/secure-coding-pour-java-by-sebastien-gioria

OWASP Montreal Hangout - January 29th - Meet the board and see what's next

• MAIN PRESENTER: OWASP Montreal Board
• ABSTRACT: Members from the OWASP Montreal board will talk about the chapter. This will be very informal and you'll be able to ask questions. It will be in English or French based on viewers preferences.

• WHEN: January 29th, 2013
• WHERE: Official OWASP Montreal Youtube Channel http://www.youtube.com/user/owaspmontreal
• ANNOUNCEMENT ON: Twitter https://twitter.com/owaspmontreal, Google+ https://plus.google.com/u/0/117662918869112904103/posts, Facebook https://www.facebook.com/owasp.montreal
• SPONSORS: This meeting has no sponsor
• PROGRAM:

 19:00-19:30 Setup and greetings to viewers
 19:30-19:35 Sponsors
 19:35-20:05 Main discussion
 20:05-20:30 End of the meeting with open discussion

OWASP Montreal - November 20th - Secure Code Review - OWASP TOP 10

• MAIN PRESENTER: Sherif Koussa
• ABSTRACT: Secure Code Review is the best approach to uncover the largest number ofsecurity flaws in addition to the most stealth and hard to uncover security vulnerabilities. During this session, you will learn how to perform security code review and uncover vulnerabilities such as OWASP Top 10: Cross-site Scripting, SQL Injection, Access Control and much more in early stages of development. You will use a real life application "SecureTickers" pulled from SourceForge. You will get an introduction to Static Code Analysis tools and how you can extend PMD (http://pmd.sourceforge.net/), the open source static code analysis tool, to catch security flaws like OWASP Top 10. Expect lots of code, tools, hacking and fun! *(Please note that the exercises will be mainly in Java.)

• WHEN: November 20th, 2012
• WHERE: École de technologie supérieure, 1100, rue Notre-Dame ouest, Montréal, Room: A-1150
• REGISTRATION: Registration NOT mandatory.
• SPONSORS: This meeting has no sponsor
• PROGRAM:

 18:00-18:30 Networking
 18:30-18:45 Welcome speech by Chapter Leader (Philippe G.)
 18:45-19:45 Main presentation: Secure Code Review - OWASP TOP 10
 19:45-20:00 Open discussion
 20:00-...   End of the meeting in a pub

OWASP Montreal - October 30th - Les utilités d’un pare-feu applicatif Web (WAF)

• MAIN PRESENTER: Jonathan Marcil
• ABSTRACT: Vous hébergez des applications Web et votre défense se limite à un coupe-feu réseau. Cependant, une grande partie des attaques sont menées directement via le protocole HTTP et l’utilisation d’un coupe-feu traditionnel s’avère inutile.

Le coupe-feu applicatif Web (Web Application Firewall, WAF) se veut une solution à cette problématique. La présentation, basée sur mon expérience des dernières années, fait le point sur les diverses utilités de cette technologie : Les choix d’implémentations. Les diverses modes de fonctionnements. L’importance et le choix des types de règles à implémenter. Rapports et collection des alertes. Méthodologie de développement de règles. Bonus: Contournement de règles et exceptions.

Le logiciel Open Source ModSecurity sera utilisé comme exemple ainsi que les règles OWASP CRS. D’autres règles conçues pour la présentation seront aussi présentées dans le but de démontrer une utilisation sur mesure du WAF.

• WHEN: October 30th, 2012
• WHERE:
• REGISTRATION: Registration NOT mandatory.
• SPONSORS: This meeting is sponsored by ETS
• PROGRAM:

 18:00-18:30 Networking
 18:30-18:45 Welcome speech by Chapter Leader (Philippe G.)
 18:45-19:45 Main presentation: Les utilités d’un pare-feu applicatif Web (WAF)
 19:45-20:00 Open discussion
 20:00-...   End of the meeting in a pub

OWASP Montreal - June 18th 2012 - Evolution of Malware and Defense from an Enterprise Infrastructure

• MAIN PRESENTER: John Otterson
• ABSTRACT: The security market space is a flood of attack detection, prevention, reporting, and recovery tools and appliances. Each targets one or more technical, legal or procedural risk areas, and most tend to make far reaching promises. This talk will take the audience past the hype, through the real-world experiences of how some of these tools make or break their promises, and how they can be realistically combined to create a meaningful security monitoring program. The presenter will then share how the attacks evolve to avoid detection, and how the security tools and practice similarly evolve to continue to be effective.
• WHEN: June 18th 2012
• WHERE: 700 Rue Wellington | Floor 3, Room 3B, Montreal, QC H3C 3S4
• REGISTRATION: Registration is mandatory. http://owaspmontrealjune2012.eventbrite.ca/
• SPONSORS: This meeting is sponsored by Morgan Stanley
• PROGRAM:

 18:00-18:30 Networking and MS-Hosted Pizza
 18:30-18:45 Welcome speech by Chapter Leader & sponsor welcome (Philippe G / Robert Fritz, Vice-President (MS Sponsor))
 18:45-19:45 Main presentation: Evolution of Malware and Defense from and Enterprise Infrastructure Perspective
 19:45-20:00 Open discussion
 20:00-...   Meet at Aziatic (optional for those that would still like to chat)

OWASP Montreal - March 12th 2012 - Training

REGISTER NOW!

Integrating security in a webapp project: from the idea to going live

Concept: A 1-day training covering 3 major topics related to integrating security in a software development project: - good practices and tools at design stage (security requirements, secure design, threat modeling) - good practices and tools at implementation stage (secure coding practices and code review) - good practices and tools at verification stage (security validation)

The entire training will follow a red-line based on a real-life HR web application project in which we will manage security and privacy aspects. Students will cover the entire lifecycle of the application, from analysis to deployment, and integrate good practices and tools based on OWASP material.

Trainers: - Antonio Fontes, Switzerland - Philippe Gamache, Canada - Sébastien Gioria, France

Course format: - The training is composed of three modules, each consisting of three 45-minutes blocks (total: 9 blocks) - Each module includes three blocks: theory, hands-on, validation/debriefing.

Schedule: - 8:45-9:30, 9:40-10:25, 10:30-11:15 -> "design" module - 11:30-12:30 -> lunch - 12:45-13:30, 13:35-14:20, 14:25-15:10 -> "implementation" module - 15:10-15:40 -> cookie break - 15:40-16:25, 16:30-17:15, 17:20-18:05 -> "verification" module - 18:10 -> closing session (debriefing/conclusions)

We expect students to arrive around 8am and be able to leave around 6:30/7pm

Pre-requisites (required skills and material): - Bring your own laptop (recommended: dual-core system running VMWare/Virtualbox) - Experience in web application development (hands-on will be in JAVA but do not require in-depth knowledge of the language) - Understanding of a web application project lifecycle - Understanding of well-known web application attacks (Top 10 attacks)

OWASP Montreal - November 17th 2011 - Gray areas of the Same Origin Policy

• MAIN PRESENTER: Philippe Arteau
• ABSTRACT: The Same Origin Policy is a fundamental concept that provide a level of separation between sites. Each components apply this separation differently. This presentation will focus on edge cases that can lead to vulnerabilities. Presentation in French with English Slides. Présentation en français avec diapo en anglais.
• WHEN: November 17th 2011, 18h30
• WHERE: École de technologie supérieure, 1100, rue Notre-Dame ouest, Montréal, Room: A-1424
• REGISTRATION: Registration NOT mandatory.
• SPONSORS: This meeting is sponsored by ETS
• PROGRAM:
• * Please note there is no lunch offered, but prizes will be offered by sponsors

    18:30-18:45 Welcome speech by Chapter Leader & sponsors
   18:45-19:45 Main presentation
   19:45-20:00 Open discussion
   20:00-...   End of the meeting at the ETS Pub

OWASP Montreal - September 15th 2011 - XSS Defense In Depth at Scale!

• MAIN PRESENTER: Jim Manico, WhiteHat Security and OWASP Podcast
• ABSTRACT: This talk will discuss the past methods used for XSS defense that were only partially effective. Learning from these lessons, will will also discuss present day defensive methodologies that are effective, but place an undue burden on the developer. We will then finish with a discussion of future XSS defense mythologies that shift the burden of XSS defense from the developer to various frameworks. These include auto-escaping template technologies, browser-based defenses such as Content Security Policy, and Javascript sandboxes such as the Google CAJA project and JSReg.
• WHEN: September 15th 2011, 18h30
• WHERE: École de technologie supérieure, 1100, rue Notre-Dame ouest, Montréal, Room: A-1424
• REGISTRATION: Registration NOT mandatory.
• SPONSORS: This meeting is sponsored by ETS
• PROGRAM:
• * Please note there is no lunch offered, but prizes will be offered by sponsors

    18:30-18:45 Welcome speech by Chapter Leader & sponsors
   18:45-19:45 Main presentation
   19:45-20:00 Open discussion
   20:00-...   End of the meeting at the ETS Pub

OWASP Montreal - July 21th 2011 - VEGA

• MAIN PRESENTER: David Mirza - Subgraph
• ABSTRACT: Vega is an open source platform to test the security of web applications. Vega can help you find and validate SQL Injections, Cross-Site Scripting (XSS), inadvertently disclosed sensitive information, and other vulnerabilities. It
• WHEN: July 21th 2011, 18h30
• WHERE: École de technologie supérieure, 1100, rue Notre-Dame ouest, Montréal, Room: A-2330
• REGISTRATION: Registration NOT mandatory.
• SPONSORS: This meeting is sponsored by ETS
• PROGRAM:
• * Please note there is no lunch offered, but prizes will be offered by sponsors

    18:30-18:45 Welcome speech by Chapter Leader & sponsors
   18:45-19:45 Main presentation
   19:45-20:00 Open discussion
   20:00-...   End of the meeting at the ETS Pub

[[Image:|vega_small.png]] [[Image:|subgraph-logo-black.png]]

OWASP Montreal - May 19th 2011 - Hackus 2011 - Démonstration d'attaques Web

• MAIN PRESENTER: Jérémie Goulet, Jonathan Marcil
• ABSTRACT: http://hackus.org
• WHEN: May 19th 2011, 18h30
• WHERE: École de technologie supérieure, 1100, rue Notre-Dame ouest, Montréal, Room: A-2330
• REGISTRATION: Registration NOT mandatory.
• SPONSORS: This meeting is sponsored by ETS
• PROGRAM:
• * Please note there is no lunch offered, but prizes will be offered by sponsors

    18:30-18:45 Welcome speech by Chapter Leader & sponsors
   18:45-19:45 Main presentation
   19:45-20:00 Open discussion
   20:00-...   End of the meeting at the ETS Pub

OWASP Montreal - March 8th 2011 - Comment obtenir de l'assurance sécurité tout au long d'un projet de déveleopppement web

• MAIN PRESENTER: Antonio Fontes
• ABSTRACT: Les tests d'intrusion (penetration tests) réalisés après le déploiement d'une application web amènent souvent leur lot de surprises, révélant l'existence de vulnérabilités tout aussi importantes que coûteuses à corriger. Comment détecter et prévenir l'apparition de ces vulnérabilités plus tôt et tout au long du cycle de développement (SDLC)? Quelles activités peut-on mettre en oeuvre pour maintenir le risque à son niveau le plus bas tout en réduisant les coûts de correction? Quels sont les outils dont dispose le management pour obtenir de l'assurance sécurité dès le lancement d'un projet d'application web?
• WHEN: March 8th 2011, 18h00
• WHERE: École de technologie supérieure, 1100, rue Notre-Dame ouest, Montréal, Room: A-1350
• REGISTRATION: Registration NOT mandatory.
• SPONSORS: This meeting is sponsored by ETS, ConFoo, L7 Sécurité and Gardien Virtuel
• PROGRAM:
• * Please note there is no lunch offered, but prizes will be offered by sponsors

    18:00-18:15 Welcome speech by Chapter Leader & sponsors
   18:15-19:15 Main presentation
   19:15-19:30 Open discussion
   19:30-...   End of the meeting at the ETS Pub

]

OWASP Montreal - January 25th 2011 - OWASP Enterprise Security API

• MAIN PRESENTER: Philippe Gamache, Parler Haut, Interagir Librement
• ABSTRACT: OWASP Enterprise Security API Toolkits help software developers guard against security-related design and implementation flaws. Because it's an API, it can be easely be add to applications and services to protect themselves from attackers. In this talk, I'll present the project, it's implantation and how to add it to your projects.
• WHEN: January 25th 2011, 18h00
• WHERE: École de technologie supérieure, 1100, rue Notre-Dame ouest, Montréal, Room: A-1350
• REGISTRATION: Registration NOT mandatory.
• SPONSORS: This meeting is sponsored by Parler Haut, Interagir Librement and ETS
• PROGRAM:
• * Please note there is no lunch offered, but prizes will be offered by sponsors

    18:00-18:15 Welcome speech by Chapter Leader & sponsors
   18:15-19:15 Main presentation
   19:15-19:30 Open discussion
   19:30-...   End of the meeting at the ETS Pub

[[Image:|Phil_logo-150x30.gif]]

OWASP Montreal - October 25th 2010 - Tweet My Trojan Please

• MAIN PRESENTER: Sherif Koussa, Software Secured
• ABSTRACT: Social media became part of our day to day activities, sure it made us more social but how safe are we tweeting, facebooking or getting Linked ! This presentation will delve into the dark side of the social networks and Privacy Commissioner Report's on Facebook. It will explore some of the recent social media attacks trying to answer the question: Are we safe socializing online? and what can we do about it?
• WHEN: Obtober 25th 2010, 18h00
• WHERE: École de technologie supérieure, 1100, rue Notre-Dame ouest, Montréal, Room: A-1340
• REGISTRATION: OwaspMontrealOctober.eventbrite.com Registration is mandatory.
• SPONSORS: This meeting is sponsored by Gardien Virtuel and ETS
• PROGRAM:
• * Please note there is no lunch offered, but prizes will be offered by sponsors

    18:00-18:15 Welcome speech by Chapter Leader & sponsors
   18:15-19:15 Main presentation
   19:15-19:30 Open discussion
   19:30-...   End of the meeting at the ETS Pub

OWASP Montreal - July 13th 2010 - Le fuzzing et les tests d'intrusions

• MAIN PRESENTER: Eric Gingras & Sebastien Duquette, Gardien Virtuel
• WHEN: July 13th 2010, 18h00
• WHERE: École de technologie supérieure, 1100, rue Notre-Dame ouest, Montréal, Room: A-1424
• REGISTRATION: OwaspMontrealJuly.eventbrite.com Registration is mandatory.
• SPONSORS: This meeting is sponsored by Gardien Virtuel and ETS
• PROGRAM:
• * Please note there is no lunch offered, but prizes will be offered by sponsors

    18:00-18:15 Welcome speech by Chapter Leader & sponsors
   18:15-19:15 Main presentation
   19:15-19:30 Open discussion
   19:30-...   End of the meeting at the ETS Pub

[[Image:|LogoGardienVirtuel_150.gif]]

OWASP Montreal - May 11th 2010 - Why Implementing Cryptography is Hard

• MAIN PRESENTER: David Mirza Ahmad, Founder at Subgraph
• WHEN: May 11th 2010, 18h00
• WHERE: École de technologie supérieure, 1100, rue Notre-Dame ouest, Montréal, Room: A-1424
• REGISTRATION: OwaspMontrealMay.eventbrite.com Registration is mandatory.
• SPONSORS: This meeting is sponsored by Gardien Virtuel, Subgraph and ETS
• PROGRAM:
• * Please note there is no lunch offered, but prizes will be offered by sponsors

    18:00-18:15 Welcome speech by Chapter Leader & sponsors
   18:15-19:45 Main presentation
   19:45-20:00 Open discussion
   20:00-...   End of the meeting at the ETS Pub

[[Image:|LogoGardienVirtuel_150.gif]] [[Image:|Subgraph-logo-black.png]]

OWASP Montreal - March 9th 2010 - OWASP Application Security Verification Standard (ASVS) Project

• MAIN PRESENTER: Sebastien Gioria, OWASP French Chapter Leader
• WHEN: March 9th 2010, 18h00
• WHERE: École de technologie supérieure, 1100, rue Notre-Dame ouest, Montréal, Room: A-1424
• REGISTRATION: OwaspMontrealMarch.eventbrite.com Registration is mandatory.
• SPONSORS: This meeting is sponsored by Gardien Virtuel and ETS
• PROGRAM:
• * Please note there is no lunch offered, but prizes will be offered by sponsors

    18:00-18:15 Welcome speech by Chapter Leader & sponsors
   18:15-19:00 Main presentation
   19:00-19:15 Open discussion
   19:15-...   End of the meeting at the ETS Pub

[[Image:|LogoGardienVirtuel_150.gif]]

OWASP Montreal - February 2nd 2010 - Authentification forte

• MAIN PRESENTER:Philippe Gamache, CEO at Parler Haut, Interagir Librement
• WHEN: February 2nd 2010, 18h00
• WHERE: École de technologie supérieure, 1100, rue Notre-Dame ouest, Montréal, Room: A-1424
• REGISTRATION: OwaspMontrealFebruary.eventbrite.com Registration is mandatory.
• SPONSORS: This meeting is sponsored by Parler Haut, Interagir Librement and ETS.
• PROGRAM:
• * Please note there is no lunch offered, but prizes will be offered by sponsors

    18:00-18:15 Welcome speech by Chapter Leader & sponsors
   18:15-19:45 Main presentation
   19:45-20:00 Open discussion
   20:00-...   End of the meeting at the ETS Pub

This presentation will be in french, with bilingual slides.

[[Image:|Phil_logo-150x30.gif]]

Meeting on November 3rd 2009 in Montreal (Pravir Chandra present Software Assurance Maturity Model (OpenSAMM))

• MAIN PRESENTER: Pravir Chandra is Director of Strategic Services at Fortify Software and works with clients on software security assurance programs. Pravir is recognized for his expertise in software security, code analysis, and his ability to strategically apply technical knowledge. Prior to Fortify, he was a Principal Consultant affiliated with Cigital and led large software security programs at Fortune 500 companies. Pravir Co-Founded Secure Software, Inc. and was Chief Security Architect prior to its acquisition by Fortify. He recently created and led the Open Software Assurance Maturity Model (OpenSAMM) project with the OWASP Foundation, leads the OWASP CLASP project, and also serves as member of the OWASP Global Projects Committee. Pravir is author of the book Network Security with OpenSSL.

• SUBJECT: The Software Assurance Maturity Model (SAMM) into a software development organization. Covering more than typical SDLC-based models for security, SAMM enables organizations to self-assess their security assurance program and then use recommended roadmaps to improve in a way that's aligned to the specific risks facing the organization. Beyond that, SAMM enables creation of scorecards for an organization's effectiveness at secure software development throughout the typical governance, development, and deployment business functions. Scorecards also enable management within an organization to demonstrate quantitative improvements through iterations of building a security assurance program. This workshop will introduce the SAMM framework and walk through useful activities such as assessing an assurance program, mapping an existing organization to a recommended roadmap, and iteratively building an assurance program. Time allowing, additional case studies will also be discussed. OpenSAMM is an open a free project and has recently been donated to the Open Web Application Security Project (OWASP) Foundation. For more information on OpenSAMM, visit http://www.opensamm.org/

• WHEN: Tuesday, November 3rd 2009, 18h00
• WHERE: École de technologie supérieure, 1100, rue Notre-Dame ouest, Montréal, Room: A-1424
• REGISTRATION: owaspmontreal at gmail.com. Registration is mandatory. Please include name, company and how many attendees.
• PROGRAM:
• * Please note there is no lunch offered, but prizes will be offered by all the sponsors, and all attendees get a copy of the SAMM on a USB stick (~90+ page document))

    18:00-18:05 Welcome speech by Chapter Leader
   18:05-18:15 Welcome speech by sponsors
   18:15-19:15 Main presentation
   19:15-19:30 Open discussion
   19:30-...   End of the meeting at the ETS Pub

[[Image:|Fortify.jpg]] [[Image:|LogoGardienVirtuel_150.gif]] [[Image:|Trendmicro.gif]]

Meeting on September 17th 2009 in Montreal (Crossing the Border – Javascript Exploits)

• MAIN PRESENTER: Justin Foster, CISSP - Third Brigade/Trend Micro
• SUBJECT: Crossing the Border – Javascript Exploits JavaScript-based exploits are a serious threat on the Internet today. This talk explores how the countermeasures to deal with script based attacks parallel 2200 years of Chinese border security. The speaker will cover the benefits and drawbacks of current prevention methods and introduce future techniques to keep bad scripts at bay.
• WHEN: Thursday, September 17th 2009, 18h00
• WHERE: École de technologie supérieure, 1100, rue Notre-Dame ouest, Montréal, Room: A-1424
• REGISTRATION: owaspmontreal at gmail.com. Registration is mandatory. Please include name, company and how many attendees.
• SPONSORS: This meeting is sponsored by Gardien Virtuel and ETS.
• PROGRAM:
• * Please note there is no lunch offered, but prizes will be offered by Gardien Virtuel (3 security books) and the Chapter will offer some OWASP gears.

    18:00-18:05 Welcome speech by Chapter Leader
   18:05-18:15 Welcome speech by sponsors
   18:15-19:00 Main presentation
   19:00-19:15 Open discussion
   19:15-...   End of the meeting at the ETS Pub

[[Image:|LogoGardienVirtuel_150.gif]]

April 7th 2009 in Montreal (Introduction to Web Application Hacking LIVE!)

• MAIN PRESENTER: Rafal Los, Sr. Web Security Specialist at HP (Topic: Intro to Web Application Hacking LIVE!)
• BIO: Rafal Los is currently a Sr. Security Consultant with Hewlett-Packard’s Application Security Center (ASC). Rafal has over 13 years of experience in network and system design, security policy and process design, risk analysis, penetration testing and consulting. Over the past eight years, he has focused on Information Security and Risk Management, leading security architecture teams and managing successful enterprise security programs for General Electric and other Fortune 100 companies, as well as SMB enterprises. Previously Rafal spent three years in-house with GE Consumer Finance, leading its security programs.

• WHEN: Tuesday, April 7th 2009, 18h00
• WHERE: CN Building, 935 De la Gauchetière Street West (Downtown), Montreal , Quebec H3B 2M9, Transcontinental room (ground floor)
• REGISTRATION: owaspmontreal at gmail.com. Registration is mandatory . Please include name, company and how many attendees.
• SPONSORS: This meeting is sponsored by Gardien Virtuel and CN.
• PROGRAM:

     18:00-18:15 Food and drinks 
    18:15-18:30 Welcome 
    18:30-20:00 Main presentation
    20:00-20:30 Open discussion

[[Image:|LogoGardienVirtuel_150.gif]]

First meeting on February 24th 2009 in Montreal (Security Development Lifecycle for IT)

• MAIN PRESENTER: Rob Labbe, Microsoft (Topic: Security Development Lifecycle for IT)

• WHEN: Tuesday, February 24th 2009, 18h00

• WHERE: 111 Duke 7th floor, Montreal, QC, H3C 2M1 (room 734.1)

• REGISTRATION: owaspmontreal at gmail.com. Registration is mandatory. Please include name, company and how many attendees.

• SPONSORS: This meeting is sponsored by Microsoft, CGI.

• PROGRAM:

     18:00-18:15 Food and drinks
    18:15-19:00 OWASP Goal and Top Ten 2007 for Managers (by Benoit Guerette)
    19:00-20:00 Security Development Lifecycle for IT (by Rob Labbe, Microsoft)
    20:00-20:30 Open discussion

OWASP Montreal News archive

2013-10-11 : OWASP Montréal - 11 novembre 2013 - ISO/IEC 27034 – Sécurité des applications

2013-10-07 : OWASP Montréal - 7 novembre 2013 - Vulnérabilités liées au téléversement de fichiers

2013-09-12 : OWASP Montréal - 12 septembre - OWASP Top 10 2013

2013-08-19 : MontréHack Web4kids

2013-08-06 : OWASP Canada - August 7th - Bug Bounty Program for the Web

2013-07-03 : OWASP Montreal - July 3rd - Linux/CDorked

2013-06-13 : Restructuration of the board, named Xavier Garceau-Aranda as Polytechnique Acamedic Lead and Alexandre Rimthong as UQAM Acamedic Lead.

2013-05-22 : OWASP Montréal - 22 mai - Injections LDAP

2013-03-25 : OWASP Montreal - March 25th - Drupal Security - Ben Jeavons, Acquia

2013-02-28 : Hangout at ConFoo 2013 - Demystifying web cache - Kristian Lyngstøl, Varnish Software

2013-02-27 : OWASP at ConFoo 2013 - Come see us at the community table

2013-02-26 : OWASP Montreal - February 26th - Secure Coding pour Java - Sébastien Gioria, OWASP France

2013-01-29 : OWASP Montreal Hangout - Meet the board and see what's next

2012-12-17 : The Board elected Jonathan Marcil as Chapter Leader!

2012-11-20 : Secure Code Review - OWASP TOP 10 - Sherif Koussa, OWASP Ottawa

2012-10-30 : Les utilités d’un pare-feu applicatif Web (WAF) -> Jonathan Marcil, OWASP Montreal

2012-06-18 : Evolution of Malware and Defense from an Enterprise Infrastructure -> John Otterson

2012-02-12 : Integrating security in a webapp project: from the idea to going live -> Antonio Fontes, Philippe Gamache, Sébastien Gioria

2011-11-17 : Gray areas of the Same Origin Policy -> Philippe Arteau

2011-09-15 : XSS Defense In Depth at Scale! -> Jim Manico, WhiteHat Security

2011-07-21 : VEGA -> David Mirza, Subgraph

2011-05-19 : Hackus 2011 - Démonstration d'attaques Web -> Jérémie Goulet, Jonathan Marcil, Hackus 2011

2011-03-08 : Comment obtenir de l'assurance sécurité tout au long d'un projet de déveleopppement web -> Antonio Fontes, L7 Sécurité

2011-01-25 : OWASP Enterprise Security API -> Philippe Gamache, Parler Haut, Interagir Librement

2010-12-04 : The new chapter leader is Philippe Gamache

2010-10-25 : Tweet My Trojan Please -> Sherif Koussa, Software Secured

2010-07-13 : Le fuzzing et les tests d'intrusions -> Eric Gingras & Sebastien Duquette, Gardien Virtuel

2010-05-11 : Why Implementing Cryptography is Hard

2010-03-19 : Next meetings date are published

2010-03-10 : OWASP Application Security Verification Standard (ASVS) Project -> Sebastien Gioria

2010-02-02 : Authentification forte by Philippe Gamache

2010-01-21 : The Board elected Philippe Gamache as Vice Chapter Leader!

2010-xx-xx : Look at the tabs, 2 meeting date are scheduled

2009-11-03 : November 3rd 2009, Pravir Chandra present Software Assurance Maturity Model (OpenSAMM)

2009-09-17 : Next meeting on September 17th 2009!

2009-07-13 : We are preparing the next meeting, it will be held on September.

2009-04-07 : Next meeting on April 7th 2009 in Montreal!

2009-02-25 : Already working for the 2nd meeting in 3 months, more details to come on this site.

2009-02-24 : OWASP meeting on February 24th 2009 in Montreal!

2009-01-20 : Board meeting

2008-12-04 : Creation of the chapter board

2008-11-28 : The new chapter leader is Benoit Guerette ([email protected])

2008-10-14 : First meeting preparation.

2007-10-09 : First meeting preparation. (Cancelled)

2007-08-06 : Email list installation.

2007-07-13 : Start-up of the Montreal Chapter. Welcome!