Il faut rappeler que le CEH est une formation très polyvalente ; tous les domaines liés à la sécurité informatique y sont abordés. Les questions sont relativement complexes, elles portent parfois sur des détails infimes du cours donc il est nécessaire de bien s’y préparer. J’ai été toutefois soulagé qu’il ne faille pas forcément retenir le nom de tous les outils vu pendant la formation (qui, il faut le rappeler, sont extrêmement nombreux). La majorité des questions portent sur le réseau, mais on y retrouve également tous les thèmes abordés lors de la formation. Pour ceux qui souhaiteraient le passer, voici quelques trucs et astuces :

• Attaques Web : Connaître les XSS, injections SQL, la manipulation des paramètres d’une page, les deux types d’authentification HTTP
• Failles applicatives : Maîtriser le fonctionnement des buffer overflows, connaître de nom les protections associées (Canary), les vulnérabilités liées Format Strings, les registres et opcodes classiques (les nops, entre autres)
• Wireless : Savoir ce qu’est une attaque par injection, l’ARP spoofing, connaître les normes du Wifi et leurs bandes de fréquences
• Virus : Connaître les différents types de virus, savoir ce que sont des virus polymorphiques et métamorphiques, les principaux virus historiques tels que Melissa, Blaster, SQL Slammer ainsi que leur types
• Trojans : Connaître les trojans les plus célèbres, tels que Netbus, Back Orifice, Beast, Tini … ainsi que leurs ports par défaut (!)
• Rootkits : Avoir une idée des techniques de dissimulation utilisées par les rootkits et connaître quelques outils pour les détecter
• Scanning et énumération : Connaître sur le bout des doigts les flags de Nmap et Netcat, ainsi que les principaux outils de scan, d’énumération Netbios, les failles telles que les Null Sessions…
• Sniffing et packet crafting : Maitriser Wireshark, et connaître quelques autres sniffers / forgeurs de paquets comme tcpdump, hping2 et Nemesis, savoir faire du sniffing en réseau switché
• IDS et honeypots : Avoir en mémoire les méthodes permettant de passer inapercu des IDS (covert channels et autres shellcodes polymorphiques), connaître quelques IDS et honeypots
• Cryptographie : Maîtriser la cryptographie asymétrique, connaître les noms des principaux algorithmes et outils pour chiffrer des données, les protocoles chiffrés (SSH, SSL…), avoir une idée des temps de cassage des clés (symétriques et asymétriques), connaître quelques outils de stéganographie…
• Sécurité physique : Savoir définir les termes Trailgating, Dumpster Diving, Shoulder Surfing, Lockpicking…
• Législation : Connaître les textes importants de la législation américaine et anglo-saxonne en matière de « cyber crime ». Eh oui, le CEH est américain, donc il n’y a (malheureusement) aucune question sur la loi française.
• En vrac : Savoir définir un Ethical Hacker, avoir une culture générale du hacking, quelques bases en programmation (savoir lire du Perl peut aider), connaître les méthodologies CEH pour les différents points du cours (déroulement d’une attaque, test de pénétration…)

Il faut avouer que certaines questions sont très « bizarres ». Par exemple, il m’a été demandé à quel endroit sont stockés les mots de passe des utilisateurs sous Linux ; parmi les réponses possibles figurent /etc/passwd et /etc/shadow, mais il n’est pas précisé dans quel contexte on se situe. De mon point de vue, ces deux réponses sont valides moyennant une argumentation… le seul problème, c’est que pour ce genre d’examen, la réponse du candidat est binaire : soit bonne, soit fausse. Je serais curieux de savoir ce qu’il fallait répondre ici, dommage que les réponses ne soient pas données à la fin.

En tout cas, passer cette certification m’aura permis — en plus de passer une excellente semaine — de me tenir à jour au niveau des techniques de piratage de systèmes informatiques, et surtout de valider les connaissances que j’avais jusque là acquises de manière autodidacte. Je remercie beaucoup toute l’équipe de Sysdream pour son accueil et la qualité des formations qui y sont dispensées. Si vous avez une formation de sécurité à faire, courez chez eux !

• Éthique, catégories de hackers, législation
• Réseau : prise d’empreintes, scans, dénis de services, wifi…
• Système : buffer overflows, escalade de privilèges, failles propres aux différents OS, évasion d’IDS…
• Sites Web : injections SQL et autres failles Web
• Cryptographie : algorithmes de chiffrement, cassage de mots de passe
• Virus et trojans…
• Tests de pénétration

Elle aborde même d’autres thèmes qui ne font pas partie à proprement parler de la sécurité informatique mais qui y sont fortement liés, comme la sécurité physique, le social engineering, et l’intelligence économique.

D’autre part, le volume de la formation est vraiment important… En arrivant ce matin, j’ai eu le plaisir de découvrir le « kit CEH » comprenant 4 livres de support de cours qui totalisent à eux seuls plus de 2300 pages, le livre de travaux pratiques (470 pages), et une pochette de CD avec outils, vidéos et tutoriaux. La formation couvre 26 modules dont 4 sont à étudier chez soi. Au total, il y a environ 2500 slides ; comme elle ne dure qu’une semaine, autant dire qu’il y a du débit !

A la fin de la formation, les participants doivent passer l’examen permettant d’obtenir la certification. Il consiste en un QCM en ligne de 150 questions générées aléatoirement parmi une base. Il faut obtenir au moins 70% de bonnes réponses pour recevoir la certification, sans quoi il est nécessaire de tout repasser depuis le début. D’après ceux qui l’ont déjà passé, certaines sont vraiment coriaces. En plus, il est parfois nécessaire de cocher plusieurs réponses, et si on en oublie une seule, la réponse est considérée comme fausse ! Et au fait, un petit détail : absolument tout — supports de cours, slides et examen — est en anglais. Anglophobes, s’abstenir…

Après cette première journée, je suis globalement très satisfait de cette formation. Bien qu’elle nécessite de mémoriser une quantité importante d’outils — on pourrait d’ailleurs lui reprocher ce côté un peu « catalogue » — elle permet néanmoins de se « décrasser » le cerveau et de se refaire la main sur les techniques incontournables de hacking. Son côté professionnel me plaît bien, car cela donne une idée de ce à quoi peut être confronté une entreprise en matière de sécurité. Il parait que les deux modules les plus chargés portent sur les Buffer Overflows et sur les injections SQL… Je suis déjà impatient