Mon éviction injustifiée de la Black Hat 2008

Mon éviction injustifiée de la Black Hat 2008


 

Avec Dan Kaminsky à la Black Hat 2008

 

Les faits:

Le 7 août 2008 (veille des jeux olympiques de Pekin) Marc Brami, Dominique Jouniot et moi-même avons été exclus de la Black Hat 2008, quelques minutes avant la
fin de la conférence par l’attachée de presse, alors que je m’étais rendu quelques heures avant au « wall of sheep » pour montrer que certains journalistes se connectaient en clair à leur « back
office », ce qui était un comportement irresponsable surtout dans une conférence sur la sécurité, justement.

 

La Black Hat s’est empressée de diffuser l’info à toutes les agences de presse et aux télévisions (CNN, AP, AFP, Reuters). « Trois journalistes français ont été
exclus de la conférence de sécurité Black Hat », avec nos noms qui défilent en boucle sur CNN…

 

Belle pub en vérité !

 


 

Voici ce l’explication de ce qui s’est réellement passé:

 

Primo j’ai agi dans le cadre du challenge Wall of Sheep organisé par la Black Hat. Il s’agit d’afficher sur un mur vidéo les login mots de passe des « chèvres » qui se connectent à
Internet en clair sans aucune protection. Bien entendu les mots de passe sont projetés avec des *** pour les masquer partiellement. Je me suis donc rendu dans la salle du challenge pour remonter
le fait que certains journalistes ne respectaient pas les consignes de sécurité élémentaires, précisément dans une conférence qui réunit près de 4000 hackers du monde entier…

 

Deuxio, les organisateurs ont photographié l’écran de mon ordinateur pour preuve, mais ont refusé de projeter ces données sur le « mur des chèvres ». Dans le
cadre d’un « responsible disclosure », je n’ai pas communiqué quoi que ce soit sur Internet ni à personne d’autre à part les organisateurs
eux-mêmes.

 

Tertio, Dominique Jouniot et Marc Brami ont été exclus par l’attachée de presse de la Black Hat « par amalgame »: ils sont français et
journalistes de Global Security Mag, comme moi, alors qu’un quatrième journaliste de GSM, américain lui, pourtant présent au « wall of sheep » comme mes deux collègues, n’a pas été inquiété…

 

Quarto, je suis bien intervenu à la Black Hat comme journaliste-pigiste pour GSM, et j’ai écrit plusieurs articles dont l’interview de Dan Kaminsky publiée
sur le site de GSM. J’écris des articles sur l’informatique et la sécurité depuis près de 25 ans, et il est normal pour une revue comme GSM de faire appel à des pigistes
spécialisés comme Dominique ou moi.

 

Quinto, et c’est le plus important, nous avons été exclus par l’attachée de presse parce que « les journalistes ne faisaient pas partie du périmètre ». Or c’est totalement faux.

 

Les journalistes ont été dument prévenus du challenge par l’email suivant envoyé par cette même attachée de presse à tous les journalistes:

 

======================================================================================

 

De : Nico Sell [mailto:nico@montaramountain.com]
Envoyé : jeudi 31 juillet 2008 04:22
À :
Nicolet Sell
Cc : Dirk Sell
Objet : Black Hat Instructions

 

Hi,

 

The Black Hat Briefings are less than a week away.

 

When you arrive at Caesars Palace on August 6th, go to Fourth Floor Palace Tower Convention Floor to register.  There is a special registration line
for press.  

 

Once you are registered, please visit the press rooms down one floor in the Milan and Messina rooms.  There will be a quiet place with Internet
access to work and a room to conduct interviews.  If you have special recording needs, please let us know.  

 

The Black Hat team in the press room can connect you with speakers you would like to interview.  We can also introduce you to unbiased expert
references.  Just let us know how we can help. 

 

Beware, the Wall of Sheep will debut at Black Hat this year.  Do not send your usernames and passwords in the clear.
 If you are not sure how to safely connect, we suggest visiting the Wall of Sheep experts when you first arrive.    

 

The best way to reach me in Vegas is to call my cell at 650-465-0943.

 

See you soon!

 

Best,

Nico

650-465-0943

================================================================


Notre exclusion et la campagne de dénigrement sur Internet qui a suivi, sont donc totalement injustifiées et incohérentes. De plus nos noms
et même le numéro de portable de Marc ont été divulgués par cette même attachée de presse à la « chèvre » de CNET qui a écrit son article diffamatoire sur
Internet. Sans parler du photographe qui a publié la photo de nos badges et de mon écran sur Internet et à l’Associated Press.

 

Nous, au contraire, n’avons publié aucun détail, ni communiqué quoi que ce soit de désobligeant.

Ce qui m’inquiète le plus c’est que près de 3200 articles ont été écrits sur Internet sans qu’aucune vérification d’une autre source n’ait été faite…

 

On notera sur nos badges qu’ils ont été photographiés et publiés sur Internet après que nos noms aient été ajoutés à la main, alors que normalement les participants de la Black Hat ont un
pseudo, bravo pour la protection des sources..
.

 

Ce qui je retiens au final, est que certains comportements laxistes quand à la sécurité des connexions peuvent avoir des conséquences lourdes dans une profession comme
journaliste.

 

En effet, se connecter au « back office » du journal avec des mots de passe en clair, permet au pays « hôte » où se trouve le journaliste de pouvoir revenir en toute impunité sur le site du journal
et consulter la base des articles, voire mettre en péril la protection des sources des journalistes. Sans compter le fait de favoriser la piratage éventuel du site en cas de « non alignement » sur
la politique du pays considéré…

 

Je pense que j’ai « appuyé sur un truc sensible » et que ce n’était pas anodin d’engendrer une telle réaction hystérique: Journalistes de tous pays « Big Brother is watching you ».

 

Ce qui me rassure, ce sont les nombreux « commentaires de soutien » que j’ai lus, notamment dans les blogs et forums en France. J’en
remercie les auteurs et cela m’encourage à recommencer dans les mois qui viennent sur d’autres sujets aussi peu sécurisés que les salles de presse dans une
conférence sur la sécurité…

 

 

Le
reportage à la Black Hat 2008 dans Global Security Mag…

On a frôlé le « big one »

En quoi consiste la faille ?

PATCHEZ-PATCHEZ-PATCHEZ
!

PLAN « B » :  Use OpenDNS