PolySécure Podcast

Parce que… c’est l’épisode 0x321!

Shameless plug

19 septembre 2026 - Bsides Montréal

20 au 26 septembre 2026 - BruCON

13 novembre 2026 - DEATHCon

16 au 19 novembre - European Cyber Week

1 au 3 décembre 2026 - Forum INCYBER - Canada 2026

24 et 25 février 2027 - SéQCure 2027

Description

Notes

Le futur s’invente avant-hier

Collaborateurs

Nicolas-Loïc Fortin

Xavier Facélina

Crédits

Montage par Intrasecure inc

Locaux réels par Repère secret de Xavier

Parce que… c’est l’épisode 0x31F!

Shameless plug

19 septembre 2026 - Bsides Montréal

20 au 26 septembre 2026 - BruCON

13 novembre 2026 - DEATHCon

16 au 19 novembre - European Cyber Week

1 au 3 décembre 2026 - Forum INCYBER - Canada 2026

24 et 25 février 2027 - SéQCure 2027

Description

Collaborateurs

Nicolas-Loïc Fortin

Dominique Derrier

Cyndie Feltz

Alexandre Fournier

Nicholas Milot

Crédits

Montage par Intrasecure inc

Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x31E!

Shameless plug

19 septembre 2026 - Bsides Montréal

20 au 26 septembre 2026 - BruCON

13 novembre 2026 - DEATHCon

16 au 19 novembre - European Cyber Week

1 au 3 décembre 2026 - Forum INCYBER - Canada 2026

24 et 25 février 2027 - SéQCure 2027

Notes

IA ou Ghost in the shell

MCP

Rethinking MCP Security: A Large-Scale Study of Runtime MCP Servers and Security Scanner Reliability

State of MCP Security 2026

Someone Is Scanning for Your MCP Servers and AI Assistant Credentials




Auto pentest

Rethinking Penetration Testing for AI-Enabled Systems: From Resource Compromise to Behavioral Objective Violation

Hugging Face Confirms AI-Driven Breach: Attackers used Autonomous Agents, defenders countered with AI




Vibe for the fail

Setup Complete, Now You Are Compromised: Weaponizing Setup Instructions Against AI Coding Agents

AI-generated code has made security debt a governance problem




Injection pour le bien et le mal

1M+ Emails Use Hidden Text to Dupe AI Security Filters

How I tricked Claude into leaking your deepest, darkest secrets

Prompt Injection Attacks Are Thwarting AI Hacking Agents




Recherche

A Fraud-Detection-Inspired Framework for LLM Agents Security




xAI can’t deny Grok makes CSAM anymore. So it’s suing users.

Agentic AI: Taming the Unpredictable

You Cannot Defend What You Cannot Inspect

Microsoft Patches a Record 570 Security Flaws

Google fixing Android lock screen bug that lets Gemini send SMS without a PIN




La guerre, la guerre, c’est pas une raison pour se faire mal!

Adam Shostack :donor: :rebelverified:: “If we bomb Iranian water facil…” - Infosec Exchange




Souveraineté ou vive le numérique libre!

How Microsoft’s ‘Little Workaround’ Created a Major Threat to America’s Defense Department

South Korea making its own security-centric AI model




Privacy ou cachez ces informations que je ne saurais voir

A Video Screen That Is Also a Camera




I am the law

Blocage for the fail

Contourner un géoblocage via VPN n’a rien d’illégal, dit la CJUE

La Belgique bloque wawacity.pizza, mais les pirates se sont déjà mis au poker

France Doubles Down On Restricting Access To Polymarket

Le blocage DNS casse tout sauf le piratage (dixit Google)




Media pas si social

Why the Government’s Plan for a Social Media Ban in Bill C-34 Is Unconstitutional

The infinite scroll may become endangered if controversial Calif. law

Social media limits are coming for teens across Europe




Senator calls on Rubio, Blanche to push back against Canadian surveillance legislation

It’s official: EU will force Google to share search data and open up AI on Android

San Francisco orders Apple, Google to remove nudify apps from app stores

FAA lets Boeing issue 737 Max, 787 airworthiness certificates again

Germany set to restrict its Freedom of Information Act

UK’s Burnham drops digital ID scheme to prioritise cost of living, say allies




Red ou tout ce qui est brisé

Microsoft’s Secure Boot has been broken for a decade and no one noticed until now

Cursor 0day: When Full Disclosure Becomes the Only Protection Left

Weak Security Continues to Fuel Russian Cyberattacks

6 GHz Wi-Fi Flaws Could Disrupt Critical Systems

Are There Cybersecurity Risks in Over-the-Air Tech Used in Autos?

Windows 10 refuses to die, and the security bill is coming due

LG monitors silently install software through Windows Update without user consent




Blue ou tout ce qui améliore notre posture

Qubes OS Security in the Public Record

Microsoft Entra ID gets passkeys default authentication starting September

Kevin Beaumont: “Remarkable transparency from C…” - Cyberplace




Divers ou parce que j’ai aucune idée où les placer

Trump Media to sell fast feed of ‘market-moving’ posts to Wall Street

Microsoft Restores Player’s Hacked 25-Year-Old Account With Son’s Baby Photos




Collaborateurs

Nicolas-Loïc Fortin

Crédits

Montage par Intrasecure inc

Locaux réels par Intrasecure inc

Parce que… c’est l’épisode 0x31D!

Shameless plug

19 septembre 2026 - Bsides Montréal

20 au 26 septembre 2026 - BruCON

13 novembre 2026 - DEATHCon

16 au 19 novembre - European Cyber Week

1 au 3 décembre 2026 - Forum INCYBER - Canada 2026

24 et 25 février 2027 - SéQCure 2027

Description

De Nessus à Tenable : les débuts d’une légende

Dans cet épisode spécial de Polysécure, l’animateur reçoit Renaud Deraison, créateur de Nessus, le scanner de vulnérabilités développé il y a près de 30 ans, et cofondateur de Tenable où il a occupé le poste de CTO jusqu’à son départ il y a environ cinq ans.

Deraison raconte la genèse de Nessus : à 16 ans, passionné par le réseau internet naissant, il découvre l’univers de la sécurité informatique à une époque où les failles étaient publiées sur la mailing list Bugtraq, suivie par une communauté restreinte d’environ 20 000 abonnés. Insatisfait des outils existants comme Satan, jugés trop complexes et peu accessibles, il développe Nessus en 1998 avec une cinquantaine de tests de sécurité au départ. Le succès est immédiat et inattendu, poussant Deraison à poursuivre le projet, d’abord en open source, puis en produit commercial via Tenable, qui étendra la portée de l’outil de la simple DMZ à l’ensemble de l’infrastructure numérique des entreprises.

Le retour à la technique et la leçon de l’éloignement du clavier

Un thème central de la discussion est l’importance de rester connecté à la pratique technique concrète. Deraison explique qu’en grandissant chez Tenable, il a dû délaisser le code pour devenir « plus stratégique », perdant ainsi une compréhension viscérale de la technologie au profit d’une compréhension purement intellectuelle. Il souligne l’écart immense, en cybersécurité, entre comprendre un concept en théorie et l’expérimenter réellement : c’est en manipulant les outils qu’on découvre les vrais problèmes de sécurité et les idées de produits pertinentes.

Cette réflexion mène à une critique plus large de l’industrie de la cybersécurité, jugée parfois arrogante et déconnectée du vécu des utilisateurs, prompte à distribuer des leçons sans empathie pour les contraintes opérationnelles réelles (comme l’impossibilité de patcher immédiatement une machine critique sans interrompre un service).

Bromure : le navigateur jetable réinventé

Après son départ de Tenable, Deraison reprend goût au code, épaulé par les assistants IA, en commençant par ChatGPT puis Claude. L’élément déclencheur d’un nouveau projet est presque anecdotique : recevant de nombreux SMS frauduleux (offres de crédit douteuses, généré désormais dans un français impeccable et localisé grâce à l’IA), il souhaite savoir qui se cache derrière ces arnaques sans s’exposer lui-même.

Il se remémore alors Bromium, une entreprise des années 2010 qui isolait Internet Explorer dans un hyperviseur, avec l’idée qu’il était inutile de patcher puisqu’il suffisait de fermer et rouvrir un environnement neuf en cas de compromission. Inspiré par ce concept, Deraison développe Bromur (bromur.io), un navigateur jetable pour Mac fonctionnant sous Linux dans une VM, avec une expérience utilisateur quasi native : glisser-déposer de fichiers entre le Mac et la VM, support webcam, contrôle fin des téléchargements et téléversements. Une version serveur permet aussi de faire travailler des contractants externes dans un environnement streamé et surveillé, où impression, captures d’écran et téléchargements peuvent être bloqués.

Le projet intègre également un module (désactivé par défaut) utilisant un LLM pour analyser les pages visitées et détecter le phishing, en repérant par exemple des incohérences entre le contenu affiché et l’URL réelle, ou des tromperies visuelles comme l’usage de caractères d’un autre alphabet imitant des lettres latines. Deraison estime que le phishing reste un vaste chantier négligé par l’industrie, qui se contente trop souvent de solutions de formation jugées insuffisantes face à des attaques de plus en plus sophistiquées, y compris par deepfake vidéo.

Bromure Agentic : sécuriser les développeurs sans les freiner

Le second volet du projet, Bromure Agentic, s’attaque aux attaques de la chaîne d’approvisionnement logicielle (supply chain attacks), un risque majeur lorsqu’un package npm ou Python compromis vole les clés SSH, tokens d’authentification et autres identifiants sensibles présents sur la machine d’un développeur.

Plutôt que d’imposer des restrictions punitives comme le font certaines sandboxes existantes, Bromure propose une VM Linux complète où l’utilisateur dispose de faux tokens et fausses clés SSH. Un mécanisme de type « man in the middle » observe le trafic sortant et substitue à la volée les vrais identifiants aux faux, uniquement au moment nécessaire. Ainsi, même en cas de compromission, aucun secret n’est réellement exposé sur la machine. L’outil ajoute aussi des alertes en cas de mauvaise configuration et permet désormais de restreindre les droits (par exemple en lecture seule) sur les accès Kubernetes ou Git, sans exiger du développeur qu’il devienne expert en administration système.

Repenser des dogmes établis

La conversation aborde aussi la remise en question de certains dogmes de sécurité, comme le caractère « intouchable » du trafic SSL, que Deraison juge paradoxal : on surveille tout le comportement d’une machine, sauf le trafic chiffré sortant. L’inspection de ce trafic ouvre selon lui de nouvelles possibilités, comme bloquer les téléchargements de packages npm en version « latest », souvent les plus vulnérables au piratage.

Les deux interlocuteurs concluent sur une analogie automobile : de même que les usagers n’ont pas à comprendre le fonctionnement d’un moteur pour conduire, les utilisateurs et développeurs ne devraient pas avoir à devenir des experts en sécurité pour travailler efficacement. La responsabilité doit se déplacer vers des outils qui protègent sans punir, permettant à chacun de rester concentré sur son métier.

Notes

Bromure

Collaborateurs

Nicolas-Loïc Fortin

Renaud Deraison

Crédits

Montage par Intrasecure inc

Locaux réels par SSTIC

Parce que… c’est l’épisode 0x31C!

Shameless plug

19 septembre 2026 - Bsides Montréal

20 au 26 septembre 2026 - BruCON

13 novembre 2026 - DEATHCon

16 au 19 novembre - European Cyber Week

1 au 3 décembre 2026 - Forum INCYBER - Canada 2026

24 et 25 février 2027 - SéQCure 2027

Description

Une conversation sur une terrasse, un sujet qui mijotait depuis longtemps

L’épisode s’ouvre de façon informelle, en terrasse, un lundi ensoleillé. L’animateur et Martin Dubé annoncent qu’ils allaient enfin aborder un sujet qu’ils repoussaient depuis longtemps : un mandat de test d’intrusion que Martin avait réalisé sur un réseau LTE (4G) privé, à une époque où il n’avait qu’une connaissance limitée de cette technologie. Le fil conducteur de la discussion est la curiosité comme moteur de croissance professionnelle en cybersécurité, illustré par ce mandat devenu un succès marquant dans sa carrière.

Se lancer dans l’inconnu : du pentest classique au LTE

Martin explique que son parcours en test d’intrusion a toujours été motivé par la curiosité plutôt que par une expertise préalable. Il rappelle ses débuts chez Gocker, où une jeune équipe sans expérience formelle a appris « sur le tas ». Cette philosophie l’a suivi tout au long de sa carrière : il se dit attiré par les mandats qui le poussent hors de sa zone de confort.

Le LTE constitue un univers à part, très différent du monde informatique traditionnel (Windows, Linux) : des protocoles propriétaires, complexes, empilés au fil des générations (3G, 4G, 5G) par l’organisme 3GPP, chaque itération apportant son lot de nouveaux acronymes déconnectés des précédents. Le mandat portait spécifiquement sur un réseau LTE privé, avec ses propres mécanismes de contrôle d’accès (notamment le verrouillage IMEI, qui lie une carte SIM à un appareil précis), absents des réseaux cellulaires publics.

Une préparation intensive

Pour se qualifier, Martin s’est procuré une carte Blade RF, a étudié le fonctionnement du matériel, préparé des payloads jusque dans sa chambre d’hôtel et dans l’avion, et a visionné une quinzaine de présentations DEF CON sur les attaques LTE. Il en retient que malgré la complexité apparente, les mêmes patterns d’attaque reviennent constamment : injections, services exposés, adresses IP mal protégées.

Il livre un message clé aux auditeurs : ne pas laisser le syndrome de l’imposteur freiner les décisions. Selon lui, un « expert » est simplement quelqu’un qui a travaillé fort et qui continue d’apprendre ; s’accrocher au statut d’expert peut au contraire limiter la capacité à sortir de sa zone de confort. Martin insiste sur l’accumulation d’expérience comme capital réutilisable : après une quinzaine d’années en test offensif, il reconnaît que les fondamentaux (penser comme un attaquant) restent transférables d’une technologie à l’autre, seuls les acronymes changent. Il souligne aussi que l’accès à l’information (recherche en ligne, outils d’IA comme Copilot) a rendu l’apprentissage de nouveaux domaines beaucoup plus rapide qu’auparavant.

Concrètement, pour écrire ses payloads en C, il a utilisé le framework open source srsRAN, qui permet de simuler un réseau LTE complet, et s’est appuyé sur Copilot pour comprendre le code et cibler les modifications nécessaires. Une soirée d’hôtel a suffi pour obtenir un premier résultat fonctionnel.

Le pouvoir du threat modeling

La deuxième moitié de l’échange se concentre sur la méthodologie du mandat. Le client, relativement mature, exigeait un atelier de modélisation des menaces (threat modeling) avant même la rédaction du plan de test, lequel devait ensuite être approuvé par les parties prenantes. L’équipe a suivi une approche inspirée de l’OWASP, réunissant plusieurs intervenants pour déterminer ce qu’il fallait sécuriser en priorité. Le sujet retenu a été le provisionnement des cartes SIM, élément central de l’accès au réseau LTE (les clés de chiffrement intégrées aux cartes, non extractibles, et leur copie détenue par le fournisseur).

Cet atelier d’une semaine a permis de faire émerger, avant même les tests techniques, plusieurs hypothèses de vulnérabilités fondées sur les risques réels plutôt que sur un périmètre imposé arbitrairement. Martin partage un exemple marquant : lors des discussions, un accès jugé initialement comme « lecture seule » sur un système de surveillance des cartes SIM s’est révélé être un accès administrateur complet, supposément atténué par des règles de pare-feu… qui, après vérification, n’avaient en réalité jamais été mises en place. Ce test, qui n’a demandé que cinq minutes, a révélé un manque de communication majeur entre les équipes du client et son fournisseur.

Les deux interlocuteurs comparent cette dynamique aux défaillances observées dans les grandes organisations complexes, où plusieurs fournisseurs interviennent sans coordination claire. L’animateur cite en parallèle l’incident de la porte de l’avion Boeing, causé par une rupture de communication entre le fournisseur et le fabricant plutôt que par une seule erreur isolée — illustrant que les systèmes complexes multiplient les angles morts.

Les résultats techniques du mandat

Une fois le plan de test bâti sur les risques identifiés, Martin a pu tester des contrôles précis : usurpation d’IMEI, mouvements latéraux via des réseaux industriels mal segmentés (FTP non sécurisés, plusieurs sauts de jump host), et surtout des attaques par déni de service. Il détaille l’attaque par injection sur la « tracking area update » : contrairement au Wi-Fi, où l’appareil mesure lui-même la force du signal, un appareil LTE fait confiance à la force annoncée par l’antenne, ce qui permet à un attaquant de se faire passer pour une tour plus puissante sans nécessiter une grande puissance d’émission. Cette faille est reconnue comme un compromis de conception du 3GPP entre sécurité et fiabilité du roaming. Dans le cas testé, la vulnérabilité existait bel et bien, mais un mécanisme de type « watchdog » redémarrait automatiquement les appareils affectés, limitant l’impact réel grâce à un contrôle compensatoire.

Conclusion

L’épisode se termine sur une note d’enthousiasme partagé : les deux interlocuteurs concluent que la curiosité, la volonté d’expérimenter dans l’inconnu et la capacité à capitaliser sur une expérience accumulée sont les véritables leviers de progression en cybersécurité, bien plus que la spécialisation figée dans un domaine unique.

Collaborateurs

Nicolas-Loïc Fortin

Martin Dubé

Crédits

Montage par Intrasecure inc

Locaux réels par Intrasecure inc