Séance de cours

Sécurité des logiciels : sécurité de la mémoire et attaques d'exécution

Graph Chat

Chattez avec Graph Search

Posez n’importe quelle question sur les cours, conférences, exercices, recherches, actualités, etc. de l’EPFL ou essayez les exemples de questions ci-dessous.

AVERTISSEMENT : Le chatbot Graph n'est pas programmé pour fournir des réponses explicites ou catégoriques à vos questions. Il transforme plutôt vos questions en demandes API qui sont distribuées aux différents services informatiques officiellement administrés par l'EPFL. Son but est uniquement de collecter et de recommander des références pertinentes à des contenus que vous pouvez explorer pour vous aider à répondre à vos questions.

Dans cours

COM-301: Computer security and privacy

This is an introductory course to computer security and privacy. Its goal is to provide students with means to reason about security and privacy problems, and provide them with tools to confront them. ...

Description

Cette séance de cours couvre la sécurité des logiciels en se concentrant sur la sécurité de la mémoire et les attaques d'exécution. Les sujets abordés incluent les mots de passe d'imprimante non sécurisés, l'exploitation des bogues de Firefox, la corruption de la mémoire, les vulnérabilités de chaînes de format incontrôlées, l'injection de code, la réutilisation de code et l'état des défenses déployées. Il traite également des dépassements de tampon, des canaris de pile et de la protection DEP.

Cette vidéo est disponible exclusivement sur Mediaspace pour un public restreint. Veuillez vous connecter à Mediaspace pour y accéder si vous disposez des autorisations nécessaires.

Regarder sur Mediaspace

Enseignant·e·s (2)

Edouard Bugnion

Edouard Bugnion joined EPFL in 2012, where his focus is on datacenter systems. His areas of interest include operating systems, datacenter infrastructure (systems and networking), and computer architecture. Before joining EPFL, Edouard spent 18 years in the US, where he studied at Stanford and co-founded two startups: VMware and Nuova Systems (acquired by Cisco). At VMware from 1998 until 2005, he played many roles including CTO. At Nuova/Cisco from 2005 until 2011, he helped build the core engineering team and became the VP/CTO of Ciscos Server, Access, and Virtualization Technology Group, a group that brought to market Ciscos Unified Computing System (UCS) platform for virtualized datacenters. Prof. Bugnion is a Fellow of the ACM. Together with his colleagues, he received the ACM Software System Award for VMware 1.0 in 2009. His paper Disco: Running Commodity Operating Systems on Scalable Multiprocessors" received a Best Paper Award at SOSP '97 and was entered into the ACM SIGOPS Hall of Fame Award in 2008. At EPFL, he received the OSDI 2014 Best Paper Award for his work on the IX dataplane operating system

Carmela González Troncoso

Enseignement et PhD Doctorant·es actuel·les Saiid El Hajj Chehade, Eric Jollès, Christian Knabenhans, Boya Wang, Mathilde Aliénor Raynal A dirigé les thèses EPFL de Sandra Deepthy Siby, Sylvain Chatel, Christian Vincent Mouchet, Bogdan Kulynych, Kasra Edalatnejadkhamene, Sinem Sav, Theresa Stadler, Klim Kireev Cours Privacy at the communication layer CS-721

Source officielle

Concepts associés (27)

Vulnérabilité (informatique)

Dans le domaine de la sécurité informatique, une vulnérabilité ou faille est une faiblesse dans un système informatique permettant à un attaquant de porter atteinte à l'intégrité de ce système, c'est-à-dire à son fonctionnement normal, à la confidentialité ou à l'intégrité des données qu'il contient. Ces vulnérabilités sont la conséquence de faiblesses dans la conception, la mise en œuvre ou l'utilisation d'un composant matériel ou logiciel du système, mais il s'agit souvent d'anomalies logicielles liées à des erreurs de programmation ou à de mauvaises pratiques.

Injection de code

vignette|Qu'est-ce que l'injection de code ? (anglais) Une injection de code est un type d'exploitation d'une faille de sécurité d'une application, non prévue par le système et pouvant compromettre sa sécurité, en modifiant son exécution. Certaines injections de code ont pour but d'obtenir une élévation des privilèges, ou d'installer un logiciel malveillant. Il s'agit aussi du mode de propagation des vers informatiques. Injection de code dans les applications web Injection SQL Catégorie:Exploit (informatiqu

Stack-Smashing Protector

Le Stack-Smashing Protector (également appelé SSP, et autrefois connu sous le nom de ProPolice) est une extension au compilateur GCC qui permet de minimiser les dommages qui peuvent être dus à des attaques de type dépassement de tampon. En particulier, il fournit une protection contre la corruption de pile (stack-smashing). La protection Stack-Smashing Protector a originairement été écrite, et est toujours entretenue, par Hiroaki Etoh d'IBM. La première implémentation a été faite pour GCC 3 et a ensuite été réécrite de façon moins intrusive puis intégrée dans GCC 4.

Sécurité des systèmes d'information

alt=Data center du provider CyberBunker |vignette|Centre de données du fournisseur d'accès . La sécurité des systèmes d’information (SSI) ou plus simplement sécurité informatique, est l’ensemble des moyens techniques, organisationnels, juridiques et humains nécessaires à la mise en place de moyens visant à empêcher l'utilisation non autorisée, le mauvais usage, la modification ou le détournement du système d'information. Assurer la sécurité du système d'information est une activité du management du système d'information.

Injection SQL

La faille SQLi, abréviation de SQL Injection, soit injection SQL en français, est un groupe de méthodes d'exploitation de faille de sécurité d'une application interagissant avec une base de données. Elle permet d'injecter dans la requête SQL en cours un morceau de requête non prévu par le système et pouvant en compromettre la sécurité. Il existe plusieurs types d'injection SQL : la méthode blind based (associée à sa cousine la time based), qui permet de détourner la requête SQL en cours sur le système et d'injecter des morceaux qui vont retourner caractère par caractère ce que l'attaquant cherche à extraire de la base de données.

Afficher plus

Séances de cours associées (48)

Sécurité des logiciels - Sécurité de la mémoire

Couvre les bases de la sécurité logicielle, en se concentrant sur la sécurité de la mémoire et les stratégies d'atténuation contre les attaques d'exécution de code.

Sécurité logicielle : Attaques d'exécution et défenses

Couvre l'injection de code et les attaques de détournement de flux de contrôle, ainsi que des défenses telles que la prévention de l'exécution des données et Stack Canaries.

Défis en matière de sécurité et de protection de la vie privée dans l'ère de l'IoT MOOC: Systèmes IoT et applications industrielles avec Design Thinking

Discute des défis de sécurité dans l'IoT, couvrant l'injection de bogues, le durcissement du code et les techniques de test.

Bugs Web et logiciels

Explore les vulnérabilités dans les applications web et logicielles, en discutant le contrôle d'accès cassé, les défauts d'injection, et les stratégies de défense comme DEP et ASLR.

Vulnérabilités en matière de sécurité logicielle : études de cas

Explore diverses vulnérabilités en matière de sécurité des logiciels et les défis liés à la mise à l'essai de grandes bases de code.

Afficher plus

Concepts associés (27)

Vulnérabilité (informatique)

Injection de code

Stack-Smashing Protector

Sécurité des systèmes d'information

Injection SQL

Afficher plus