Le carnet d’Humanix
BLOG
Analyses, retours d’expérience et repères sur la cybersécurité offensive et défensive. Sans jargon inutile, au plus près du terrain.
Votre domaine interne appartient déjà à quelqu’un d’autre
Compte-rendu BarbHack 2026 : 46 millions de certificats analysés, 203 domaines achetés pour 8 000 dollars, 11 milliards de requêtes DNS captées. Des identifiants qui fuient, des e-mails détournés, un accès administrateur complet sur l’Active Directory d’une ville américaine, et 874 jours pour récupérer le domaine. La plupart du temps, personne ne s’en aperçoit pendant des années.
La clé USB qui ne s’ouvre que dans son boîtier
Compte-rendu BarbHack 2026 : couper le réseau ne supprime pas le risque, il le concentre sur la clé USB. BindKey, projet de cinq étudiants de l’ISEN Méditerranée, dissocie l’élément chiffrant du support chiffré dans un proxy matériel reconnu sans pilote par n’importe quel OS. Deux cents euros pour trois prototypes, et quelques décisions d’architecture à voler.
Une minute dix pour ouvrir un microcontrôleur automobile
Compte-rendu BarbHack 2026 : comment accéder à une interface de debug protégée sans connaître son mot de passe. Injection de faute sur deux microcontrôleurs automobiles, un banc à 500 euros, et un chrono qui devrait faire réfléchir tout industriel qui protège un produit par un mot de passe gravé dans le silicium.
Le bug qui ne crashe pas : fuzzing binaire avec AFL, Unicorn et Hippie
Compte-rendu BarbHack 2026 : le fuzzing classique trouve les crashs francs et laisse passer l’essentiel de ce qui est réellement exploitable. Un chercheur a réécrit malloc et free sous émulation pour rendre visible le débordement d’un seul octet. Trente fois plus lent, et bien plus utile.
Vous construisez vos serveurs MCP de travers
Compte-rendu BarbHack 2026 : un serveur MCP de pentest Active Directory riche d’une centaine d’outils, des milliers d’exécutions de benchmark, et un constat qui dérange. La façon dont presque tout le monde bâtit ses serveurs MCP casse en silence sur tout modèle qui n’est pas un gros modèle cloud. Et la correction a un nom.
Quand le navigateur devient l’agent : la face offensive des extensions Chromium
Compte-rendu BarbHack 2026 : comment une simple extension de navigateur Chromium se transforme en agent C2 furtif, glisse sous les EDR et les politiques d’entreprise, et persiste malgré les mises à jour. Surtout, ce que ça change pour votre défense.
Choisir sans renoncer : construire sa stratégie de détection autour de la matrice MITRE ATT&CK
Compte-rendu d’une conférence de terrain : comment bâtir une stratégie de détection multi-périmètres orientée produit et métier, en s’appuyant sur MITRE ATT&CK comme pivot. Un retour d’expérience issu de l’industrie navale.