PolySécure Podcast

Parce que… c’est l’épisode 0x321!

Shameless plug

19 septembre 2026 - Bsides Montréal

20 au 26 septembre 2026 - BruCON

13 novembre 2026 - DEATHCon

16 au 19 novembre - European Cyber Week

1 au 3 décembre 2026 - Forum INCYBER - Canada 2026

24 et 25 février 2027 - SéQCure 2027

Description

Dans cet épisode spécial enregistré à Montpellier, Nicolas reçoit Xavier Facélina, entrepreneur en cybersécurité depuis près de 30 ans, fondateur de la société CLAB (créée en 2011, vendue il y a deux ans et demi) et sur le point de lancer une nouvelle entreprise au Québec. La discussion reprend le fil d’une conférence que Xavier a donnée à Nordic sur la place de la science-fiction dans la façon dont l’avenir se construit réellement, et sur les liens étroits entre cet imaginaire et sa propre carrière en cybersécurité.

La red team du ministère des armées : quand la science-fiction éclaire la stratégie

Xavier explique une initiative française singulière : la red team du ministère des armées, animée pendant plusieurs années par son ami Nicolas Mainvie. Contrairement à une red team de pentesting, cette équipe rassemble des militaires de carrière, des diplomates et des auteurs de science-fiction (scénaristes, romanciers) pour réfléchir collectivement aux futurs possibles de la conflictualité — sociale, écologique, militaire. Les récits produits, en partie publics, visent à anticiper des scénarios plausibles pour préparer la France à défendre ses valeurs démocratiques. Xavier souligne que si d’autres pays comme les États-Unis mènent des exercices de prospective similaires, ils le font surtout via des analyses techniques plutôt que par le récit romancé, alors que l’être humain reste fondamentalement un animal d’histoires.

Les auteurs de science-fiction, spécialistes de l’avenir

Un des points centraux de l’échange est l’idée que les autrices et auteurs de science-fiction sont, par leur pratique quotidienne, particulièrement entraînés à imaginer des futurs plausibles. Nicolas et Xavier remontent aux mythes grecs, à Jules Verne (dont les récits de voyage vers la Lune ont inspiré des générations), et même à Tintin, dont les fusées annoncent étonnamment bien les technologies actuelles — démontrant une forme de « contamination » des idées entre œuvres, y compris celles qui ne se revendiquent pas explicitement de la science-fiction.

L’imaginaire d’enfance comme moteur de carrière

Xavier raconte comment son ami Nicolas Mainvie lui a fait remarquer que ses deux passions apparemment séparées — la science-fiction et la cybersécurité — sont en réalité intimement liées : ses produits et entreprises répondent souvent, sans qu’il en ait eu pleinement conscience, à des questions posées par des œuvres de son enfance comme Wargames, Ghost in the Shell ou Star Trek. Il insiste sur l’importance de continuer à nourrir son imaginaire d’adulte, au risque sinon de se laisser gagner par des représentations plus sombres ou dépressives de l’avenir. Il cite Ghost in the Shell (2006, saison Standalone Complex) comme un exemple d’œuvre à la fois futuriste et étonnamment optimiste sur la continuité des dynamiques sociales humaines malgré la présence de cyborgs et d’IA.

De l’imaginaire à l’innovation concrète

La conversation explore ensuite comment la science-fiction fonctionne comme un espace de liberté permettant d’explorer l’humain sans les contraintes du réel, un peu comme les nombres imaginaires en mathématiques permettent de résoudre des équations autrement impossibles. Xavier établit un parallèle frappant entre le téléphone Motorola StarTAC (1996) et le communicateur à charnière de Star Trek (1966) : bien que l’ingénieur en lui trouve ce choix de design peu pratique, cette influence culturelle a poussé à des innovations techniques réelles (nappes flexibles), dont on retrouve l’héritage dans les écrans pliables actuels. Il évoque aussi l’iPad et la visioconférence, anticipés dès la première saison de Star Trek en 1966, une œuvre qu’il recommande vivement pour sa modernité sociale et politique surprenante pour l’époque.

Les deux interlocuteurs formulent une « règle des 30 ans » : il faudrait environ trois décennies entre l’apparition d’un concept en science-fiction et sa réalisation technique ou scientifique. Ils appliquent cette règle à la téléportation (Star Trek, années 60) et à l’interface neuronale de Matrix (1999), suggérant qu’on pourrait voir des avancées significatives d’ici 2029-2036. Xavier insiste également sur le rôle de la science-fiction comme outil de vulgarisation : les entrepreneurs qui peuvent ancrer leur pitch dans une référence culturelle connue (Matrice, Star Wars) captent l’attention bien plus vite que ceux qui présentent une idée totalement inédite.

L’intelligence artificielle : de la dystopie à la bienveillance

La dernière partie de l’échange porte sur l’évolution des représentations de l’IA à travers la trilogie Tron (Tron, Tron Legacy, Tron Ares). Xavier observe un glissement progressif : dans le premier film, l’IA a une volonté propre hostile ; dans le second, sa dangerosité vient d’un ordre humain mal formulé (« créer un monde parfait ») plutôt que d’une malveillance intrinsèque ; dans le troisième, une IA militarisée choisit finalement la bienveillance et l’empathie comme moteur, plutôt que la vengeance ou la puissance — un cas rare au cinéma. Nicolas fait le lien avec l’approche d’Anthropic, qui privilégie une philosophie d’entraînement fondée sur des principes plutôt que des règles rigides, rappelant les trois lois de la robotique d’Isaac Asimov, elles-mêmes une invention littéraire devenue référence scientifique et philosophique incontournable.

L’épisode se conclut sur l’idée que ces récits, bien qu’imaginaires, façonnent concrètement notre manière de penser, d’innover et d’aborder des sujets aussi sérieux que l’intelligence artificielle — et les deux animateurs promettent de poursuivre cette conversation lors d’une prochaine rencontre au Québec.

Notes

Le futur s’invente avant-hier

Collaborateurs

Nicolas-Loïc Fortin

Xavier Facélina

Crédits

Montage par Intrasecure inc

Locaux réels par Repère secret de Xavier

Parce que… c’est l’épisode 0x31F!

Shameless plug

19 septembre 2026 - Bsides Montréal

20 au 26 septembre 2026 - BruCON

13 novembre 2026 - DEATHCon

16 au 19 novembre - European Cyber Week

1 au 3 décembre 2026 - Forum INCYBER - Canada 2026

24 et 25 février 2027 - SéQCure 2027

Description

Contexte de l’épisode

Ce premier épisode d’une série en trois volets consacrée à la gestion de crise réunit Alexandre Fournier, invité spécial, aux côtés de Cyndie Feltz, Nicholas Milot et Dominique Derrier. L’objectif de cette discussion est de poser les bases : qu’est-ce qu’une crise pour une PME, et comment s’y préparer concrètement, sachant que ces organisations sont souvent les moins bien outillées pour y faire face et l’apprennent généralement trop tard.

Une réalité différente des grandes entreprises

Alexandre ouvre la discussion en soulignant que la gestion de crise en PME n’a rien à voir avec celle des grandes organisations : ni les mêmes moyens, ni les mêmes priorités, ni les mêmes obligations réglementaires. Les PME consacrent naturellement leurs ressources au quotidien plutôt qu’à la préparation aux crises, ce qui les rend particulièrement vulnérables. Les cadres normatifs classiques (type ISO), pensés pour de grandes structures, sont jugés largement inadaptés à la réalité opérationnelle des petites organisations. Alexandre affirme même trouver plus stimulant de travailler avec des PME, où les gains d’efficacité sont plus tangibles lorsqu’elles s’engagent réellement dans la démarche.

La méthode de « l’eau bouillante »

Le cœur de l’échange porte sur une approche pragmatique : plutôt que de multiplier les analyses théoriques, Alexandre propose de plonger directement les dirigeants (le PDG et son bras droit) dans une simulation de crise concrète — un exercice de type « table top » réalisable en une heure. Ce choc initial révèle immédiatement les failles de préparation de l’organisation. Une fois la surprise passée, l’équipe peut construire un plan de gestion de crise réellement adapté — trois pages suffisent généralement pour une PME, loin des documents de trente pages inutilisables au quotidien.

Définir ce qu’est réellement une crise

Une partie importante de la discussion porte sur la définition même du mot « crise », devenu un terme galvaudé dans les PME où le moindre incident mineur peut être qualifié ainsi. Le groupe s’accorde sur un critère simple : une crise se reconnaît à l’arrêt de la productivité, du chiffre d’affaires ou de la capacité à rendre le service ou la mission de l’organisation. Cyndie souligne la difficulté fréquente à identifier où se situe réellement la valeur critique de l’entreprise, un exercice que seule une mise en situation concrète permet de clarifier efficacement — bien plus qu’une analyse d’impact d’affaires classique, jugée coûteuse en temps et souvent déconnectée de la réalité. Selon Alexandre, parler d’argent rend les gens lucides très rapidement : dès qu’une simulation touche au chiffre d’affaires, chaque service identifie naturellement ses priorités essentielles.

Obligations légales et préparation

La discussion aborde ensuite les obligations réglementaires variables selon les secteurs (alimentaire, pharmaceutique, industriel, etc.), la loi 25 étant citée en exemple. Ces obligations émergent naturellement lors des exercices de simulation, ce qui permet d’identifier les contacts et procédures nécessaires en amont plutôt que dans l’urgence.

L’importance critique de l’annuaire de contacts

Un point très concret est développé : la difficulté de retrouver rapidement les numéros de téléphone des parties prenantes (assureurs, fournisseurs, autorités) en cas de crise, alors que cette information est habituellement dispersée dans différents systèmes et contrats. Si cette recherche peut déjà prendre plusieurs heures en temps normal, elle devient quasi impossible si les systèmes informatiques sont hors service. La solution proposée : constituer des « cartes réflexes », des documents physiques (format une à deux pages) rassemblant l’essentiel pour gérer les deux premières heures d’une crise, en s’inspirant du principe de sauvegarde 3-2-1 appliqué aux copies numériques. Une copie externalisée, chiffrée ou sur clé USB, ainsi qu’une version papier, sont recommandées. Le groupe évoque en riant que certains ont déjà appliqué ce principe avec leur gestionnaire de mots de passe, imprimé et plastifié. La discussion souligne aussi la vulnérabilité totale de l’électronique en cas d’événements extrêmes (blackout, impulsion électromagnétique), où seul le papier resterait exploitable.

Maintenir la préparation dans le temps

La dernière partie aborde la fréquence de mise à jour de ces outils. Si une révision annuelle constitue un minimum, Alexandre recommande plutôt deux exercices complets par an, complétés par de courts exercices mensuels de quinze minutes portant sur un scénario spécifique choisi librement (attaque informatique, grève, etc.). Cette pratique régulière, bien plus légère qu’un exercice de trois heures perçu comme une perte de temps par des dirigeants déjà accaparés par leur quotidien, permet de maintenir un momentum et de développer une forme de réflexe mental face aux imprévus. Selon Alexandre, cette répétition crée des connexions cognitives qui accélèrent considérablement la capacité à réagir efficacement le moment venu — un gain de temps crucial, car une PME peut être longue à construire mais très rapide à perdre.

Conclusion

L’épisode se termine sur une transition vers la communication de crise, brièvement évoquée comme un enjeu tout aussi déterminant : bien décider ne suffit pas, encore faut-il savoir communiquer dès les premières heures pour occuper le terrain, faute de quoi d’autres acteurs risquent de définir le narratif à la place de l’organisation. Ce sujet sera approfondi dans le deuxième épisode de la série, consacré à la gestion en plein cœur de la crise.

Collaborateurs

Nicolas-Loïc Fortin

Dominique Derrier

Cyndie Feltz

Alexandre Fournier

Nicholas Milot

Crédits

Montage par Intrasecure inc

Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x31E!

Shameless plug

19 septembre 2026 - Bsides Montréal

20 au 26 septembre 2026 - BruCON

13 novembre 2026 - DEATHCon

16 au 19 novembre - European Cyber Week

1 au 3 décembre 2026 - Forum INCYBER - Canada 2026

24 et 25 février 2027 - SéQCure 2027

Notes

IA ou Ghost in the shell

MCP

Rethinking MCP Security: A Large-Scale Study of Runtime MCP Servers and Security Scanner Reliability

State of MCP Security 2026

Someone Is Scanning for Your MCP Servers and AI Assistant Credentials




Auto pentest

Rethinking Penetration Testing for AI-Enabled Systems: From Resource Compromise to Behavioral Objective Violation

Hugging Face Confirms AI-Driven Breach: Attackers used Autonomous Agents, defenders countered with AI




Vibe for the fail

Setup Complete, Now You Are Compromised: Weaponizing Setup Instructions Against AI Coding Agents

AI-generated code has made security debt a governance problem




Injection pour le bien et le mal

1M+ Emails Use Hidden Text to Dupe AI Security Filters

How I tricked Claude into leaking your deepest, darkest secrets

Prompt Injection Attacks Are Thwarting AI Hacking Agents




Recherche

A Fraud-Detection-Inspired Framework for LLM Agents Security




xAI can’t deny Grok makes CSAM anymore. So it’s suing users.

Agentic AI: Taming the Unpredictable

You Cannot Defend What You Cannot Inspect

Microsoft Patches a Record 570 Security Flaws

Google fixing Android lock screen bug that lets Gemini send SMS without a PIN




La guerre, la guerre, c’est pas une raison pour se faire mal!

Adam Shostack :donor: :rebelverified:: “If we bomb Iranian water facil…” - Infosec Exchange




Souveraineté ou vive le numérique libre!

How Microsoft’s ‘Little Workaround’ Created a Major Threat to America’s Defense Department

South Korea making its own security-centric AI model




Privacy ou cachez ces informations que je ne saurais voir

A Video Screen That Is Also a Camera




I am the law

Blocage for the fail

Contourner un géoblocage via VPN n’a rien d’illégal, dit la CJUE

La Belgique bloque wawacity.pizza, mais les pirates se sont déjà mis au poker

France Doubles Down On Restricting Access To Polymarket

Le blocage DNS casse tout sauf le piratage (dixit Google)




Media pas si social

Why the Government’s Plan for a Social Media Ban in Bill C-34 Is Unconstitutional

The infinite scroll may become endangered if controversial Calif. law

Social media limits are coming for teens across Europe




Senator calls on Rubio, Blanche to push back against Canadian surveillance legislation

It’s official: EU will force Google to share search data and open up AI on Android

San Francisco orders Apple, Google to remove nudify apps from app stores

FAA lets Boeing issue 737 Max, 787 airworthiness certificates again

Germany set to restrict its Freedom of Information Act

UK’s Burnham drops digital ID scheme to prioritise cost of living, say allies




Red ou tout ce qui est brisé

Microsoft’s Secure Boot has been broken for a decade and no one noticed until now

Cursor 0day: When Full Disclosure Becomes the Only Protection Left

Weak Security Continues to Fuel Russian Cyberattacks

6 GHz Wi-Fi Flaws Could Disrupt Critical Systems

Are There Cybersecurity Risks in Over-the-Air Tech Used in Autos?

Windows 10 refuses to die, and the security bill is coming due

LG monitors silently install software through Windows Update without user consent




Blue ou tout ce qui améliore notre posture

Qubes OS Security in the Public Record

Microsoft Entra ID gets passkeys default authentication starting September

Kevin Beaumont: “Remarkable transparency from C…” - Cyberplace




Divers ou parce que j’ai aucune idée où les placer

Trump Media to sell fast feed of ‘market-moving’ posts to Wall Street

Microsoft Restores Player’s Hacked 25-Year-Old Account With Son’s Baby Photos




Collaborateurs

Nicolas-Loïc Fortin

Crédits

Montage par Intrasecure inc

Locaux réels par Intrasecure inc

Parce que… c’est l’épisode 0x31D!

Shameless plug

19 septembre 2026 - Bsides Montréal

20 au 26 septembre 2026 - BruCON

13 novembre 2026 - DEATHCon

16 au 19 novembre - European Cyber Week

1 au 3 décembre 2026 - Forum INCYBER - Canada 2026

24 et 25 février 2027 - SéQCure 2027

Description

De Nessus à Tenable : les débuts d’une légende

Dans cet épisode spécial de Polysécure, l’animateur reçoit Renaud Deraison, créateur de Nessus, le scanner de vulnérabilités développé il y a près de 30 ans, et cofondateur de Tenable où il a occupé le poste de CTO jusqu’à son départ il y a environ cinq ans.

Deraison raconte la genèse de Nessus : à 16 ans, passionné par le réseau internet naissant, il découvre l’univers de la sécurité informatique à une époque où les failles étaient publiées sur la mailing list Bugtraq, suivie par une communauté restreinte d’environ 20 000 abonnés. Insatisfait des outils existants comme Satan, jugés trop complexes et peu accessibles, il développe Nessus en 1998 avec une cinquantaine de tests de sécurité au départ. Le succès est immédiat et inattendu, poussant Deraison à poursuivre le projet, d’abord en open source, puis en produit commercial via Tenable, qui étendra la portée de l’outil de la simple DMZ à l’ensemble de l’infrastructure numérique des entreprises.

Le retour à la technique et la leçon de l’éloignement du clavier

Un thème central de la discussion est l’importance de rester connecté à la pratique technique concrète. Deraison explique qu’en grandissant chez Tenable, il a dû délaisser le code pour devenir « plus stratégique », perdant ainsi une compréhension viscérale de la technologie au profit d’une compréhension purement intellectuelle. Il souligne l’écart immense, en cybersécurité, entre comprendre un concept en théorie et l’expérimenter réellement : c’est en manipulant les outils qu’on découvre les vrais problèmes de sécurité et les idées de produits pertinentes.

Cette réflexion mène à une critique plus large de l’industrie de la cybersécurité, jugée parfois arrogante et déconnectée du vécu des utilisateurs, prompte à distribuer des leçons sans empathie pour les contraintes opérationnelles réelles (comme l’impossibilité de patcher immédiatement une machine critique sans interrompre un service).

Bromure : le navigateur jetable réinventé

Après son départ de Tenable, Deraison reprend goût au code, épaulé par les assistants IA, en commençant par ChatGPT puis Claude. L’élément déclencheur d’un nouveau projet est presque anecdotique : recevant de nombreux SMS frauduleux (offres de crédit douteuses, généré désormais dans un français impeccable et localisé grâce à l’IA), il souhaite savoir qui se cache derrière ces arnaques sans s’exposer lui-même.

Il se remémore alors Bromium, une entreprise des années 2010 qui isolait Internet Explorer dans un hyperviseur, avec l’idée qu’il était inutile de patcher puisqu’il suffisait de fermer et rouvrir un environnement neuf en cas de compromission. Inspiré par ce concept, Deraison développe Bromur (bromur.io), un navigateur jetable pour Mac fonctionnant sous Linux dans une VM, avec une expérience utilisateur quasi native : glisser-déposer de fichiers entre le Mac et la VM, support webcam, contrôle fin des téléchargements et téléversements. Une version serveur permet aussi de faire travailler des contractants externes dans un environnement streamé et surveillé, où impression, captures d’écran et téléchargements peuvent être bloqués.

Le projet intègre également un module (désactivé par défaut) utilisant un LLM pour analyser les pages visitées et détecter le phishing, en repérant par exemple des incohérences entre le contenu affiché et l’URL réelle, ou des tromperies visuelles comme l’usage de caractères d’un autre alphabet imitant des lettres latines. Deraison estime que le phishing reste un vaste chantier négligé par l’industrie, qui se contente trop souvent de solutions de formation jugées insuffisantes face à des attaques de plus en plus sophistiquées, y compris par deepfake vidéo.

Bromure Agentic : sécuriser les développeurs sans les freiner

Le second volet du projet, Bromure Agentic, s’attaque aux attaques de la chaîne d’approvisionnement logicielle (supply chain attacks), un risque majeur lorsqu’un package npm ou Python compromis vole les clés SSH, tokens d’authentification et autres identifiants sensibles présents sur la machine d’un développeur.

Plutôt que d’imposer des restrictions punitives comme le font certaines sandboxes existantes, Bromure propose une VM Linux complète où l’utilisateur dispose de faux tokens et fausses clés SSH. Un mécanisme de type « man in the middle » observe le trafic sortant et substitue à la volée les vrais identifiants aux faux, uniquement au moment nécessaire. Ainsi, même en cas de compromission, aucun secret n’est réellement exposé sur la machine. L’outil ajoute aussi des alertes en cas de mauvaise configuration et permet désormais de restreindre les droits (par exemple en lecture seule) sur les accès Kubernetes ou Git, sans exiger du développeur qu’il devienne expert en administration système.

Repenser des dogmes établis

La conversation aborde aussi la remise en question de certains dogmes de sécurité, comme le caractère « intouchable » du trafic SSL, que Deraison juge paradoxal : on surveille tout le comportement d’une machine, sauf le trafic chiffré sortant. L’inspection de ce trafic ouvre selon lui de nouvelles possibilités, comme bloquer les téléchargements de packages npm en version « latest », souvent les plus vulnérables au piratage.

Les deux interlocuteurs concluent sur une analogie automobile : de même que les usagers n’ont pas à comprendre le fonctionnement d’un moteur pour conduire, les utilisateurs et développeurs ne devraient pas avoir à devenir des experts en sécurité pour travailler efficacement. La responsabilité doit se déplacer vers des outils qui protègent sans punir, permettant à chacun de rester concentré sur son métier.

Notes

Bromure

Collaborateurs

Nicolas-Loïc Fortin

Renaud Deraison

Crédits

Montage par Intrasecure inc

Locaux réels par SSTIC

Parce que… c’est l’épisode 0x31C!

Shameless plug

19 septembre 2026 - Bsides Montréal

20 au 26 septembre 2026 - BruCON

13 novembre 2026 - DEATHCon

16 au 19 novembre - European Cyber Week

1 au 3 décembre 2026 - Forum INCYBER - Canada 2026

24 et 25 février 2027 - SéQCure 2027

Description

Une conversation sur une terrasse, un sujet qui mijotait depuis longtemps

L’épisode s’ouvre de façon informelle, en terrasse, un lundi ensoleillé. L’animateur et Martin Dubé annoncent qu’ils allaient enfin aborder un sujet qu’ils repoussaient depuis longtemps : un mandat de test d’intrusion que Martin avait réalisé sur un réseau LTE (4G) privé, à une époque où il n’avait qu’une connaissance limitée de cette technologie. Le fil conducteur de la discussion est la curiosité comme moteur de croissance professionnelle en cybersécurité, illustré par ce mandat devenu un succès marquant dans sa carrière.

Se lancer dans l’inconnu : du pentest classique au LTE

Martin explique que son parcours en test d’intrusion a toujours été motivé par la curiosité plutôt que par une expertise préalable. Il rappelle ses débuts chez Gocker, où une jeune équipe sans expérience formelle a appris « sur le tas ». Cette philosophie l’a suivi tout au long de sa carrière : il se dit attiré par les mandats qui le poussent hors de sa zone de confort.

Le LTE constitue un univers à part, très différent du monde informatique traditionnel (Windows, Linux) : des protocoles propriétaires, complexes, empilés au fil des générations (3G, 4G, 5G) par l’organisme 3GPP, chaque itération apportant son lot de nouveaux acronymes déconnectés des précédents. Le mandat portait spécifiquement sur un réseau LTE privé, avec ses propres mécanismes de contrôle d’accès (notamment le verrouillage IMEI, qui lie une carte SIM à un appareil précis), absents des réseaux cellulaires publics.

Une préparation intensive

Pour se qualifier, Martin s’est procuré une carte Blade RF, a étudié le fonctionnement du matériel, préparé des payloads jusque dans sa chambre d’hôtel et dans l’avion, et a visionné une quinzaine de présentations DEF CON sur les attaques LTE. Il en retient que malgré la complexité apparente, les mêmes patterns d’attaque reviennent constamment : injections, services exposés, adresses IP mal protégées.

Il livre un message clé aux auditeurs : ne pas laisser le syndrome de l’imposteur freiner les décisions. Selon lui, un « expert » est simplement quelqu’un qui a travaillé fort et qui continue d’apprendre ; s’accrocher au statut d’expert peut au contraire limiter la capacité à sortir de sa zone de confort. Martin insiste sur l’accumulation d’expérience comme capital réutilisable : après une quinzaine d’années en test offensif, il reconnaît que les fondamentaux (penser comme un attaquant) restent transférables d’une technologie à l’autre, seuls les acronymes changent. Il souligne aussi que l’accès à l’information (recherche en ligne, outils d’IA comme Copilot) a rendu l’apprentissage de nouveaux domaines beaucoup plus rapide qu’auparavant.

Concrètement, pour écrire ses payloads en C, il a utilisé le framework open source srsRAN, qui permet de simuler un réseau LTE complet, et s’est appuyé sur Copilot pour comprendre le code et cibler les modifications nécessaires. Une soirée d’hôtel a suffi pour obtenir un premier résultat fonctionnel.

Le pouvoir du threat modeling

La deuxième moitié de l’échange se concentre sur la méthodologie du mandat. Le client, relativement mature, exigeait un atelier de modélisation des menaces (threat modeling) avant même la rédaction du plan de test, lequel devait ensuite être approuvé par les parties prenantes. L’équipe a suivi une approche inspirée de l’OWASP, réunissant plusieurs intervenants pour déterminer ce qu’il fallait sécuriser en priorité. Le sujet retenu a été le provisionnement des cartes SIM, élément central de l’accès au réseau LTE (les clés de chiffrement intégrées aux cartes, non extractibles, et leur copie détenue par le fournisseur).

Cet atelier d’une semaine a permis de faire émerger, avant même les tests techniques, plusieurs hypothèses de vulnérabilités fondées sur les risques réels plutôt que sur un périmètre imposé arbitrairement. Martin partage un exemple marquant : lors des discussions, un accès jugé initialement comme « lecture seule » sur un système de surveillance des cartes SIM s’est révélé être un accès administrateur complet, supposément atténué par des règles de pare-feu… qui, après vérification, n’avaient en réalité jamais été mises en place. Ce test, qui n’a demandé que cinq minutes, a révélé un manque de communication majeur entre les équipes du client et son fournisseur.

Les deux interlocuteurs comparent cette dynamique aux défaillances observées dans les grandes organisations complexes, où plusieurs fournisseurs interviennent sans coordination claire. L’animateur cite en parallèle l’incident de la porte de l’avion Boeing, causé par une rupture de communication entre le fournisseur et le fabricant plutôt que par une seule erreur isolée — illustrant que les systèmes complexes multiplient les angles morts.

Les résultats techniques du mandat

Une fois le plan de test bâti sur les risques identifiés, Martin a pu tester des contrôles précis : usurpation d’IMEI, mouvements latéraux via des réseaux industriels mal segmentés (FTP non sécurisés, plusieurs sauts de jump host), et surtout des attaques par déni de service. Il détaille l’attaque par injection sur la « tracking area update » : contrairement au Wi-Fi, où l’appareil mesure lui-même la force du signal, un appareil LTE fait confiance à la force annoncée par l’antenne, ce qui permet à un attaquant de se faire passer pour une tour plus puissante sans nécessiter une grande puissance d’émission. Cette faille est reconnue comme un compromis de conception du 3GPP entre sécurité et fiabilité du roaming. Dans le cas testé, la vulnérabilité existait bel et bien, mais un mécanisme de type « watchdog » redémarrait automatiquement les appareils affectés, limitant l’impact réel grâce à un contrôle compensatoire.

Conclusion

L’épisode se termine sur une note d’enthousiasme partagé : les deux interlocuteurs concluent que la curiosité, la volonté d’expérimenter dans l’inconnu et la capacité à capitaliser sur une expérience accumulée sont les véritables leviers de progression en cybersécurité, bien plus que la spécialisation figée dans un domaine unique.

Collaborateurs

Nicolas-Loïc Fortin

Martin Dubé

Crédits

Montage par Intrasecure inc

Locaux réels par Intrasecure inc