This site is the archived OWASP Foundation Wiki and is no longer accepting Account Requests.
To view the new OWASP Foundation website, please visit https://owasp.org
Quebec City
- Nouvelles OWASP Quebec City
- Bienvenue
- Agenda
- Historique
- Participation
- Commandites
- Contact et Newsletter
Rencontre du 2 juin 2015
SSL et les problèmes de validation de certificats dans les applications mobiles
Les protocoles SSL/TLS et les certificats X.509 sont des éléments essentiels de la sécurité sur internet. Jusqu'à "récemment", la grande majorité des développeurs n'avaient à se soucier de cette composante que lors du déploiement de leur application: on met un certificat sur le serveur, et voilà! Mais aujourd'hui, c'est fort différent.
Pourquoi ? Les applications mobiles.
Dans un monde PC, la validation du côté client du certificat SSL renvoyé par le server se fait presque toujours par le navigateur web. Par contre, dans le monde mobile, chaque application doit elle-même faire la validation du certificat serveur pour éviter les "Man-in-the-middle". Cependant, vérifier correctement un certificat SSL ne semble pas être une tâche simple.
Dans cette présentation, nous aborderons rapidement les grandes lignes de la mécanique de validation des certificats SSL. Par la suite, nous présenterons un prototype de laboratoire virtuel permettant de tester automatiquement si une application Android valide bien les certificats SSL qu'elle reçoit (ou si elle expose ses usagers à du vol d’information sensible par une attaque Man-in-the-middle). Finalement, nous terminerons avec les résultats préliminaires d'une étude sur la qualité des implémentations SSL dans les applications Android existantes.
Conférenciers
|
Marc-Antoine Fortier, Marc-Antoine Ferland, Simon Desloges et Jonathan Ouellet François Gagnon
|
Lieu
Local P-451 du CÉGEP de Ste-Foy, Aile "P"
Horaire
18:00 - 18:30 Accueil
18:30 - 18:45 Communications OWASP Québec
18:45 - 19:45 Conférence: SSL et les problèmes de validation de certificats dans les applications mobiles
19:45 - 20:00 Questions, discussions, débats, suites
20:00 - Réseautage
Stationnement
Le stationnement accessible à partir de la rue Nicolas Pinel est gratuit à partir de 18h00.
Gratuit, RSVP!
Comme à l'habitude, cet événement est gratuit et ouvert à tous. SVP, afin de nous permettre d'assurer une meilleure logistique confirmez votre présence
Remerciements à nos commenditaires
|
pour la salle |
Nous sommes toujours à la recherche de conférenciers, de démonstrations ou de sujets de discussion. Manifestez-vous!
Bienvenue sur la page d'accueil du chapitre OWASP Ville de Québec (OWASP Quebec City).
- Le leader du chapitre est Patrick Leclerc.
- Le vice-leader est Johan Renaut.
- La responsable des évènements, commandites et communications est Anne-Marie Faber.
Vous pouvez vous inscrire à la liste de distribution OWASP Ville de Québec pour recevoir les dernières annonces et notifications de rencontres du chapitre.
Vous pouvez aussi nous suivre sur:
- @owaspquebec sur twitter.
- OwaspQuebec sur facebook.
- OWASP-Quebec sur LinkedIn.
Nos activités sont pour la plupart gratuites pour tous. Soyez plus que participants, devenez membre de notre communauté! Pour devenir membre OWASP
Les meetings OWASP ont lieu quelques fois par année et se déroulent généralement dans une salle prêtée par un commenditaire ou partenaire de l'OWASP. Maintenez-vous informé des prochaines rencontres en vous inscrivant à la liste OWASP Ville de Québec.
21 avril 2015 | Discussions: quels sujets vous aimeriez aborder en 2015?
2 juin 2015 | SSL et les problèmes de validation de certificats dans les applications mobiles
20 octobre 2015 | Retour sur OWASP AppSec USA 2015
6-7 novembre 2015 | OWASP Québec au Hackfest 2015?
Autres évènements à venir, suivez-nous sur notre liste OWASP Québec ou sur nos médias sociaux
Première rencontre 2013 des membres OWASP Quebec City
Voici le contenu de la rencontre de lancement: http://www.slideshare.net/PatrickLeclerc/premire-rencontre-dowasp-qubec
Une première collaboration pour OWASP Quebec City et le Hackfest 2012
Conférence de Jim Manico au Hackfest 2012
Top Ten Web Defenses: We cannot hack or firewall our way secure. Application programmers need to learn to code in a secure fashion if we have any chance of providing organizations with proper defenses in the current threatscape. This talk will discuss the 10 most important security-centric computer programming techniques necessary to build low-risk web-based applications.
|
Jim Manico |
Rencontre du 19 février 2014
Développement d’une application sécurisée : étanchéité par le pipeline Web et le cadre d’application
Par le biais de techniques fort simples, l’application de règles applicatives centralisées très sévères et l’utilisation d’un cadre d’application (framework) approprié, il n’est pas utopique d’éliminer 100% des vulnérabilités d’une application Web et de son infrastructure sous-jacente. Mais, pour cela, l’application et son infrastructure doivent respecter un ensemble de conditions bien précises. Cette présentation très concrète fera un survol de la recette pour développer une application sécuritaire, même contre les erreurs des développeurs.
Cette présentation veut provoquer la discussion sur certaines pratiques de développement et d’implantation de sites Web.
|
Eric Chartré
|
Rencontre du 15 avril 2014
La sécurité applicative et le cycle de développement
Encore de nos jours la majorité des applications Web comportent des vulnérabilités, ces dernières représentent plus souvent qu'autrement des risques dont les organisations ignorent encore l'existence. Certaines organisations croient qu'un simple balayage de vulnérabilités parfois accompagné d'un test d'intrusion sont les seuls moyens d'identifier les risques, mais encore faut-il les corriger après! S'il y a des coûts à prévenir et mitiger les risques, ils sont décuplés lorsque nous avons à les corriger!
Dans cette présentation, découvrez comment identifier et mitiger vos risques de sécurité en les prenant en charge tout au long du cycle de développement. Vous avez intérêts, puisque depuis quelques années déjà, Gartner identifiait que 75% des attaques étaient dirigées sur les applications Web. Plusieurs firmes ont fait les manchettes ces dernières années, n'attendez pas votre tour.
|
Patrick Leclerc
|
Rencontre du 10 juin 2014
Avez-vous dit XSS ? (Cross-site Scripting)
La faille dite de Cross-site scripting (XSS) est une faille web bien connue des pirates informatiques. Sur un site web vulnérable, elle permet d’y injecter du code malicieux qui sera exécuté à partir du navigateur des visiteurs, ou plutôt, des victimes...
Ces failles peuvent sembler bénignes de prime abord, mais lorsqu'elles sont exploitées malicieusement, elles deviennent un vecteur d'attaque puissant pour d'éventuels attaquants.
Cette présentation se veut une introduction aux différents types de failles XSS de base.
Nous couvrirons plusieurs sujets relatifs aux failles XSS:
- Qu’est-ce que le XSS?
- Pourquoi devons-nous nous en préoccuper?
- Comment les découvrir
- Comment les tester via des scénarios d'attaques classiques
- Comment s'en prémunir
|
Johan Renaut
|
Rencontre du 30 septembre 2014
Ce que vous devriez savoir sur le Cloud computing
Vous songez à réduire vos coûts liés à la gestion de vos infrastructures technologiques et de vos applications? Vous avez entendu dire que le Cloud Computing (pour certains l'infonuagique ou informatique en nuage) permettait d’augmenter la disponibilité, la performance et l'extensibilité de vos applications tout en protégeant vos actifs informationnels? En consommateur avisé, vous êtes méfiants et aimeriez en savoir davantage avant de vous lancer dans une aventure ou seuls les plus aguerris s’en sortent sans y laisser de plumes. Si tel est votre cas, ou si vous êtes tout simplement curieux de voir l'envers de la médaille, cette conférence est pour vous! Nous vous apporterons des pistes de solutions ainsi qu’un retour sur nos expériences de travail vécues sur la sécurité dans le Cloud.
Conférenciers
|
Yann Rivière
|
|
Patrick Leclerc
|
Collaboration OWASP Montréal & OWASP Québec au HackFest 2014
Kiosque OWASP et OWASP mini CTF
OWASP Ottawa & OWASP Quebec at ICCE 2014 : "The Insider Threats"
OWASP booth at International Conference on Corporate Espionage and Industrial Security (ICCE)
OWASP members have a 400$ discount on the conference!
This year, the conference will provide exclusive solutions and security practices to help you and your company to counter the “Insider Threats”.
This edition promises to be even greater than the last (CISC2011) with exclusives highlights such as:
- Two days of “Secret” Level Briefings
- The “Bugged Room” Challenge
- Presentations of Surveillance and Counter-Surveillance Equipment that could be used by or against you
- Opportunity to visit the Casino Lac-Leamy Security Centre
- Keynotes by former foreign spies
- And much more!
ICCE 2014 has a team of renowned international speakers. Among them, we can find:
- Renee Guttmann – Vice President, Office of the CISO at Accuvant (United States)
- John E. McClurg – Chief Security Officer, Dell (United States)
- Lt-Colonel Rene Lopez – Former Cuban Intelligence Officer (Cuba)
- Brian Shields – Former Senior Advisor System Security, Nortel (United States)
- Richard Olszewski – Chief of Staff, Haut Comité Français pour la Défense Civile (France)
- Michel Juneau-Katsuya – CEO, Northgate (Canada)
- And many other (visit our Speaker page for more information)
Privileged rate for OWASP members! If you're not, Become an OWASP member here then Mail me for the code that will give you a $400 discount on the conference regular price ($1,200). Then Register to ICCE 2014 here!
If you have any question or need complementary information, do not hesitate to contact the ICCE 2014 team at the following email address: [email protected]
OWASP Ottawa and OWASP Quebec City chapters are looking forward to see you in December for the ICCE 2014 Conference!
Date and location
December 1-2, 2014 at Hilton Casino Lac-Leamy, Gatineau
Les rencontres OWASP sont ouvertes à tous et gratuites. Nous encourageons l'échange informel sur tous sujets relatifs à la sécurité applicative. Toute personne intéressée par la sécurité applicative est la bienvenue aux rencontres.
Les sujets principalement abordés sont:
- Analyse et conception d'applications sécurisées
- Techniques et méthodes de développement sécurisé
- Évaluation et validation de la sécurité des applications (tests d'intrusion, recherche de vulnérabilités)
- Sécurité d'architectures et technologies de développement logiciel
- Gouvernance de la sécurité logicielle dans les organisations
Conférenciers / Intervenants
Si vous souhaitez présenter un sujet lors d'une prochaine rencontre OWASP ou avez une question relative aux rencontres de la section OWASP Ville de Québec, n'hésitez pas à envoyer un email à Patrick Leclerc. Toute intervention orale (présentation, formation) lors d'un meeting OWASP est soumise à l'acceptation préalable du règlement des conférenciers.
Nos activités sont pour la plupart gratuites pour tous. Soyez plus que participants, devenez membre de notre communauté! Pour devenir membre OWASP
Quatre formules de sponsoring sont actuellement proposées aux organisations désireuses de soutenir la mission de l'OWASP:
- Chapter Supporter: soutien financier annuel du chapitre OWASP Ville de Québec
- Single Meeting Supporter: soutien financier ponctuel, pour un meeting spécifique du chapitre OWASP Ville de Québec
- Facility Sponsor: publicité des évènements OWASP Quebec City et/ou mise à la disposition de salles équipées pour la tenue des meetings OWASP Ville de Québec
- Organization Supporter: soutien financier annuel de la fondation OWASP + 40% de la cotisation reversés à la section affiliée (OWASP Quebec City)
Pour toute information relative au sponsoring affilié à la section, merci de contacter Anne-Marie Faber ou consulter la page memberships dédiée à cet effet.
Pour nous contacter : OWASP Ville de Québec
Pour s'inscrire à la liste de diffusion: liste OWASP Ville de Québec
<paypal>Quebec City (Canada) Chapter</paypal>
