Une journée, dix sujets, une même leçon

Le 29 mai 2026 se tenait la deuxième édition d’Auvergn’hack, une journée d’ateliers et de conférences consacrée aux outils et à la défense. Dix sujets, du noyau Linux à la cryptographie post-quantique en passant par les ampoules connectées. Voici ce que nous en retenons, sujet par sujet, avec les vérifications et les compléments que nous y avons ajoutés.

Deuxième article tiré de cet événement, après notre analyse détaillée de la détection réseau en milieu industriel et biomédical.

L’IA au SOC, pour aider l’analyste et non le remplacer

La journée s’ouvrait sur une aide à la décision destinée aux centres opérationnels de sécurité. L’intention est sobre et bien posée : fournir du contexte et des incidents similaires pour accélérer l’investigation, sans jamais prétendre trancher à la place de l’humain.

L’architecture combine trois briques : un modèle de similarité, une classification par forêts d’arbres, et un modèle de langage strictement encadré par ses invites, une température basse et un format de sortie imposé. L’explicabilité guide les réglages, et une boucle de retour ramène systématiquement le verdict de l’analyste dans le système.

Le point qui mérite d’être souligné : l’ensemble tourne sur site, sans carte graphique. C’est exactement l’enjeu que nous relevions à propos des serveurs MCP appliqués au pentest : sur des données d’incident, la contrainte de confidentialité commande l’architecture avant toute considération de performance.

Voir là où l’EDR ne peut pas aller

Une session entière était consacrée à la détection réseau sur des équipements industriels et médicaux impossibles à instrumenter. Nous lui avons consacré un article dédié : sonde passive, moteur Suricata, jeu de règles libre, et trois démonstrations sur un poste obsolète, un moniteur patient et un équipement d’imagerie.

Un entier qui déborde, et un serveur qui tombe

Une conférence technique détaillait l’exploitation d’un dépassement d’entier dans libfcgi, la bibliothèque FastCGI. Le principe : une addition signée de deux longueurs déborde, produit une allocation de taille nulle, et transforme un calcul anodin en débordement de tas contrôlé. De là, l’exploitation écrase un pointeur de fonction interne pour détourner l’exécution.

Deux corrections par rapport au compte-rendu, que nous avons vérifiées. Il s’agit de CVE-2025-23016, qui affecte les versions 2.x jusqu’à 2.4.4 incluses, et le correctif amont se trouve en 2.4.5, pas en 2.4.2. Le défaut se situe dans le traitement des paramètres, et il est particulièrement exploitable sur les compilations 32 bits, donc sur beaucoup d’embarqué.

À faire : mettre à jour, préférer une socket UNIX locale à une écoute réseau, et vérifier qu’aucune de vos vulnérabilités de type SSRF ne permet d’atteindre ce service depuis l’extérieur.

Une ampoule connectée, et 450 000 lignes de code

Deux sessions décortiquaient la sécurité d’une ampoule connectée. Le chiffre qui reste : environ 450 000 lignes de code pour allumer une lumière. Et une chaîne de sécurité étonnamment sérieuse : démarrage en deux étages dont une ROM inaltérable, partitions chiffrées par fusibles matériels, banques A et B pour des mises à jour signées avec possibilité de retour arrière, verrouillage des interfaces de débogage, et un appairage sans fil qui sert surtout à la configuration, toute commande réelle transitant par le nuage.

Ce dernier point est le plus instructif : la sécurité de l’objet n’est pas une propriété de l’objet, mais de l’écosystème complet, objet plus passerelle plus nuage plus application. Et le maillon délicat s’avère banal : la validation des certificats suppose une horloge juste, donc une synchronisation de temps fiable.

Le cadre réglementaire était rappelé, et il se durcit : exigences européennes sur les équipements radio, puis règlement sur la cyberrésilience, avec mises à jour sécurisées, suppression des mots de passe par défaut et suivi des vulnérabilités sur une décennie. C’est exactement ce qui manquait aux objets dont nous parlions dans « La faille qu’aucune mise à jour ne corrigera ».

Landlock, le bac à sable que personne n’utilise

C’est pour nous la découverte de la journée. Landlock est un module de sécurité intégré au noyau Linux qui permet à un processus non privilégié de restreindre lui-même ses propres droits, de manière irréversible, sur les fichiers et les sockets. Tout est interdit par défaut, on autorise ensuite le strict nécessaire. Des outils d’enrobage permettent de l’appliquer à un programme existant sans le recompiler.

Et voici ce qui transforme un mécanisme de durcissement en source de détection : les refus d’accès sont désormais journalisés nativement par le sous-système d’audit du noyau. Autrement dit, chaque tentative de sortir du bac à sable produit un événement exploitable dans un SIEM, avec très peu de faux positifs par construction, puisqu’un programme correct ne déclenche rien.

Deux cas d’usage cités méritent l’attention immédiate : l’encadrement des agents de codage assistés par IA, pour limiter les dégâts d’une injection d’invite ou d’une exfiltration, et la protection contre l’évasion de conteneur. Si vous laissez tourner des agents sur vos dépôts, c’est le sujet à regarder cette semaine.

Post-quantique : l’échéance n’est plus théorique

La menace tient en une formule : « récolter maintenant, déchiffrer plus tard ». Un adversaire patient capte aujourd’hui des flux chiffrés qu’il ouvrira le jour venu. La question n’est donc pas quand la machine existera, mais combien de temps vos données doivent rester secrètes.

Où en est-on réellement, vérifications faites :

• Trois standards sont finalisés depuis août 2024 : ML-KEM pour l’échange de clés, issu de Kyber, ainsi que ML-DSA et SLH-DSA pour les signatures, issus de Dilithium et de SPHINCS+.
• HQC a été retenu en 2025 comme mécanisme d’échange de clés alternatif, reposant sur une hypothèse mathématique différente. C’est une précaution de diversification, pas un doublon.
• Les isogénies ont été abandonnées après des attaques classiques dévastatrices. Rappel utile : la sélection élimine aussi des candidats, et c’est le signe que le processus fonctionne.
• Le calendrier est posé : les algorithmes classiques de niveau courant sont dépréciés à l’horizon 2030 et proscrits en 2035. Les déploiements ont déjà commencé côté messageries et navigateurs.

La seule action vraiment urgente n’est pas de migrer, c’est d’inventorier : où utilisez-vous du RSA ou des courbes elliptiques, sur quels flux, et avec quelle durée de confidentialité attendue. Sans cette carte, aucune migration n’est planifiable.

MQTT, ou l’authentification en option

Une session détaillait la compromission d’un écosystème d’objets connectés reposant sur MQTT. Les faiblesses de départ sont structurelles : authentification facultative, abonnements par caractère générique, messages conservés, et messages d’erreur suffisamment bavards pour servir d’oracle.

La chaîne présentée enchaînait rétro-ingénierie de l’application mobile, interception du trafic chiffré, et reconstitution des identifiants de connexion, dérivés de façon prévisible à partir d’un identifiant d’appareil et d’un secret, le tout signé avec une fonction de hachage obsolète. S’y ajoutaient des défauts de contrôle d’accès côté service et une situation de concurrence permettant un déni de service durable à l’enrôlement.

Les recommandations sont classiques et rarement appliquées : authentification et chiffrement obligatoires, restriction des caractères génériques, épinglage de certificat, abandon des fonctions de hachage dépassées, stockage des secrets dans un élément sécurisé avec rotation, et limitation de débit sur l’enrôlement.

De Fail2ban au SIEM distribué

Une session de clôture racontait le passage d’un blocage local à une supervision distribuée, avec agents, corrélation et réponse active. Le blocage se propage alors à l’ensemble du parc, la surveillance d’intégrité des fichiers alimente une analyse automatisée, et la remédiation devient possible sans intervention.

L’avertissement mérite d’être retenu plus que la démonstration : une réponse active distribuée sans haute disponibilité est un point de défaillance unique. Un système qui bannit automatiquement sur tout un cluster doit être au moins aussi disponible que ce qu’il protège, sous peine de vous enfermer dehors.

Le chercheur comme cible, et un réseau domestique durci

Dernier sujet, et le plus inattendu : les chercheurs en sécurité sont eux-mêmes des cibles de valeur, parce qu’ils manipulent des outils et des échantillons sensibles. La démonstration portait sur un réseau domestique repensé : remplacement de la box opérateur par un routeur maîtrisé, segmentation en VLAN, routage par politique, capture de flux et sonde de détection, résolveur DNS récursif local, et répartition du trafic entre plusieurs fournisseurs de tunnel pour qu’aucun acteur unique ne voie l’ensemble.

Le retour d’expérience le plus marquant concernait une compromission mobile sans interaction, détectée non pas par un antivirus mais par l’analyse des sauvegardes et la supervision DNS. D’où les bonnes pratiques qui en découlent : conserver longtemps les journaux DNS, faire des sauvegardes locales chiffrées et multi-versions, et activer le tunnel automatiquement.

Ce qu’on en retient chez Humanix

• Le fil rouge de la journée n’était pas la nouveauté, c’était l’ancienneté. Un service de débogage embarqué documenté depuis 2010, un protocole d’imagerie médicale conçu en 1983, une authentification MQTT facultative par conception. Les sujets brûlants de 2026 sont pour l’essentiel des dettes que personne n’a payées.
• Landlock est le sujet à instruire dès maintenant, parce qu’il produit du durcissement et de la détection avec le même réglage. Peu de mesures offrent ce double effet, et son application aux agents de codage autonomes répond à un risque que beaucoup d’équipes viennent tout juste de s’ajouter.
• Sur le post-quantique, ne vous laissez pas vendre une migration avant un inventaire. La bonne question n’est pas quel algorithme choisir, mais quelles données doivent rester confidentielles au-delà de 2035. Pour beaucoup d’organisations, la réponse honnête est « peu », et cela change radicalement le budget.
• Les 450 000 lignes de l’ampoule disent tout de l’IoT. La complexité est la surface d’attaque. Quand vous achetez un objet connecté, vous achetez aussi un nuage, une application et une chaîne de mise à jour, pour dix ans.
• Et une remarque de méthode. Ce genre d’événement vaut autant pour ses contenus que pour les conversations entre deux sessions. C’est aussi comme cela qu’on garde un conseil ancré dans la pratique plutôt que dans la plaquette. La preuve avant le verdict, y compris pour nous-mêmes.

Note et sources. Panorama, à visée pédagogique, de la deuxième édition d’Auvergn’hack, le 29 mai 2026. Chaque sujet y est résumé, non détaillé : nous décrivons les constats et leurs contre-mesures, sans procédure d’exploitation. Nous avons corrigé deux éléments du compte-rendu d’origine après vérification : la vulnérabilité libfcgi porte la référence CVE-2025-23016 et son correctif amont est en version 2.4.5 ; et l’outil d’enrobage Landlock cité sur scène ne correspond à aucun projet que nous ayons pu identifier sous ce nom, nous l’avons donc décrit sans le nommer. L’état de la normalisation post-quantique est celui publié par le NIST. Deuxième volet de notre couverture de l’événement, avec « Là où l’EDR ne peut pas aller ». Un sujet de cette liste vous concerne directement ? Contactez-nous.