Sécurité | David Aparicio

Étudiants, Sécurisez vos PoCs avec OAuth2-Proxy et Anubis

Sat, 06 Jun 2026 08:30:00 +0000

Sécurisez vos prototypes avec OAuth2-Proxy et Anubis

Wed, 22 Apr 2026 08:30:00 +0000

Sécurisez vos prototypes avec OAuth2-Proxy

Tue, 03 Feb 2026 08:30:00 +0000

Sécurisez vos applications avec DevSecOps

Tue, 02 Dec 2025 13:30:00 +0000

Une histoire d'horreur de DevSecOps (backup)

Fri, 21 Nov 2025 08:30:00 +0000

DevSecOps (meetup)

Thu, 12 Dec 2024 18:30:00 +0000

Gosec (meetup)

Tue, 03 Dec 2024 18:30:00 +0000

Une histoire d'horreur de DevSecOps

Thu, 17 Oct 2024 08:30:00 +0000

Le retour de l'atelier DevSecOps

Thu, 04 Jul 2024 08:30:00 +0000

Install party, Workshop DevSecOps

Wed, 31 Jan 2024 08:30:00 +0000

Atelier sécurité, L'Install party 🎉

Wed, 15 Nov 2023 08:00:00 +0000

Atelier La sécurité, Install party 🎉

Thu, 12 Oct 2023 08:30:00 +0000

WS La sécurité, Install party 🎉

Wed, 12 Apr 2023 08:30:00 +0000

Vérificateur d'URL

Sat, 18 Mar 2023 00:00:00 +0000

CUC (prononciation française : [cuc] / λευκός) est un outil CLI très simple pour vérifier un des différents statuts HTTP d’un site web, par exemple si une page web est disponible (200) ou non trouvée (404).

C’est délicieux comme un TUC (cracker), Biscuit de la société française LU, mais avec un C, pour Console.

WS La sécurité, par où commencer ? Install party 🎉

Thu, 19 Jan 2023 08:30:00 +0000

La Sécurité dès la conception (Secure by design)

Fri, 09 Sep 2022 00:00:00 +0000

Namecheck

Wed, 31 Aug 2022 00:00:00 +0000

Vérificateur de disponibilité de pseudonyme: un outil en ligne de commande ainsi qu’un serveur, très simples, pour vérifier la disponibilité d’un pseudo/handle sur Twitter et GitHub. Ce projet “bac à sable” (toyproject) est utilisé pour mes démos de la conférence La sécurité dès le début de la conception d’un projet ainsi que dans le cadre de l’article Programmez! Hors série #8. Cette application Go est un fork du projet opensource de @jub0bs, disponible également sur GitHub.

Les hackers n'en ont rien à f**tre !

Sun, 17 Jul 2022 00:00:00 +0000

Publié originalement en anglais par Kiwicon à l’adresse https://kiwicon.org/site_media/poster_shit.pdf

Traduit et publié le 17 juillet 2022 par @dadideo.

Les hackers n’en ont rien à “faire”

À propos du scope de votre projet
Il soit géré par une tierce partie / sous-traitant
C’est un système ancien (Legacy)
TPCM / " Touche pas ! C’est magique "
C’est “trop critique pour être réparé”
A propos de vos périodes de maintenance
A propos de votre budget
Vous l’avez toujours fait de cette façon
À propos de votre date de mise en service
Il s’agit seulement d’un pilote/PoC
À propos des accords de non-divulgation
Ce n’était pas une exigence dans le contrat
C’est un système interne
Il est vraiment difficile de modifier / changer
Vous n’êtes pas sûr de savoir comment y remédier
Il doit être remplacé
C’est géré dans le Cloud
À propos de votre inscription au registre des risques
L’éditeur ne prend pas en charge cette configuration
C’est une solution provisoire
Il est conforme à [insérer la norme ici]
Il est crypté sur disque
Le rapport coût-bénéfice ne scale pas
“Personne d’autre ne pouvait le comprendre”
Vous ne pouvez pas expliquer le risque au “Business”
Vous avez d’autres priorités
Sur votre foi dans la compétence de vos utilisateurs internes
Vous n’avez pas de justification commerciale
❏ Vous ne pouvez pas montrer le retour sur investissement
Vous avez sous-traité ce risque
C’était à la mode [insérer la technologie hype ici]
De vos certifications

Voici une “petite” liste de 32 raisons, la grande majorité traduite de la version anglaise, complété par quelques unes qui ont été entendues.

Conférence à Codeurs en Seine 2020

Cette liste en français a été présenté la première fois durant le talk “La sécurité dès la conception du projet” à la 8ème édition de Codeurs en Seine (2020)

Merci pour votre lecture, si vous remarquez une erreur, une typo, faites une issue ou une MR/PR sur le fichier Gitlab.

Si vous souhaitez partager vos raisons improbables, ou laisser un commentaire sur Twitter.

Agilité et sécurité numériques, Cas concret avec la sauvegarde automatisée de Kerberos

Tue, 08 Oct 2019 18:00:00 +0000

Agilité et sécurité numériques: Cas concret avec la sauvegarde automatisée de Kerberos

David Aparicio

DevOps Cloud and Bigdata

3ème édition Sophia Security Camp (08 Octobre 2019)

Avant propos

L’ensemble de la présentation porte sur ma mission DevOps Bigdata ALTRAN chez AMADEUS

Les opinions sont les miennes et non les visions de mon ancien employeur, ni celles de mon employeur actuel

Disclaimer

David Aparicio

Double diplôme INSA de Lyon / UNICAMP (Brésil)

Facebook Open Academy / MIT AppInventor

2 ans à AMADEUS

Nouveau job à Lyon

Analogie

« Nul n’est censé ignorer la loi »

Ma devise

« Nul développeur n’est censé ignorer la sécurité »

Kerberos: kézako?

Source (EN): Kerberos pour les manageurs

Authentification | Autorisation

Cours (EN): 6.858 Fall 2014 Lecture 13: Kerberos

Contexte

Kerberos est un SPOF (Point individuel de défaillance)

Pas de ressource pour le rendre HA (Haute Disponibilité)

Vite fait & Bien fait

Où stocker la sauvegarde ?

HDFS alias Hadoop Distributed File System ?

Architecture générale

Résultat

Puppet Master avec la gestion des certificats

Documentation

Configuration optionnelle

Chaos Monkey

Quelques problèmes

Cluster sans Kerberos (MapR ticket)
Pas de 50/50
Temps de livraison
Sécurité ?
Accompagnement du Management

Conclusion

Infos à retenir

Security by design

Sécurité dans l’agilité

Pour aller plus loin:

Atelier d’analyse de risque
L’appréciation des risques

Merci

Questions ?

Keep in touch

Ceci fût ma 1ère présentation tech

david@aparicio.eu

Sécurité | David Aparicio

Étudiants, Sécurisez vos PoCs avec OAuth2-Proxy et Anubis

Sécurisez vos prototypes avec OAuth2-Proxy et Anubis

Sécurisez vos prototypes avec OAuth2-Proxy

Sécurisez vos applications avec DevSecOps

Une histoire d'horreur de DevSecOps (backup)

DevSecOps (meetup)

Gosec (meetup)

Une histoire d'horreur de DevSecOps

Le retour de l'atelier DevSecOps

Install party, Workshop DevSecOps

Atelier sécurité, L'Install party 🎉

Atelier La sécurité, Install party 🎉

WS La sécurité, Install party 🎉

Vérificateur d'URL

WS La sécurité, par où commencer ? Install party 🎉

La Sécurité dès la conception (Secure by design)

Namecheck

Les hackers n'en ont rien à f**tre !

Les hackers n’en ont rien à “faire”

Conférence à Codeurs en Seine 2020

Agilité et sécurité numériques, Cas concret avec la sauvegarde automatisée de Kerberos

Agilité et sécurité numériques: Cas concret avec la sauvegarde automatisée de Kerberos

3ème édition Sophia Security Camp (08 Octobre 2019)

Avant propos

Disclaimer

David Aparicio

Analogie

Ma devise

« Nul développeur n’est censé ignorer la sécurité »

Kerberos: kézako?

Authentification | Autorisation

Cours (EN): 6.858 Fall 2014 Lecture 13: Kerberos

Contexte

Où stocker la sauvegarde ?

Architecture générale

Résultat

Sécurité

Modèle de menace

Threat model

Single Source of Truth (SSOT)

Puppet Master avec la gestion des certificats

Documentation

Configuration optionnelle

Chaos Monkey

Quelques problèmes

Conclusion

Infos à retenir

Sécurité dans l’agilité

Merci

Keep in touch