English version

Sommaire

• Présentation
• Classements
• Règlement
• Contact
• Validations intermédiaires :
  • Étape 1
  • Étape 2
  • Étape 3
  • Étape 4
  • Étape 5
• Valider un flag

Présentation

Suite à la situation sanitaire mondiale, le SSTIC se déroule pour la deuxième
année consécutive en ligne. Une des conséquences principales est que cette
année encore, aucun billet ne sera vendu. Devant cette impossibilité à
s'enrichir grassement sur le travail de la communauté infosec et voulant faire
l'acquisition d'une nouvelle Mercedes et de 100g de poudre, le Comité d'Organisation
a décidé de réagir ! Une solution de DRM a été développée spécifiquement 
pour protéger les vidéos des présentations du SSTIC qui seront désormais payantes.

En tant que membre de la communauté infosec, impossible de laisser passer ça.
Il faut absolument analyser cette solution de DRM afin de trouver un moyen de
récupérer les vidéos protégées et de les partager librement pour diffuser la
connaissance au plus grand nombre (ou donner les détails au CO du SSTIC
contre un gros bounty).

Heureusement, il a été possible d’infiltrer le CO et de récupérer une capture
effectuée lors d’un transfert de données sur une clé USB. Avec un peu de
chance, elle devrait permettre de mettre la main sur la solution de DRM et
l’analyser.

Bon courage!

Le challenge consiste à récupérer une vidéo particulière protégée par le système de DRM du SSTIC et d’en extraire un e-mail (de la forme xxx@challenge.sstic.org).

Pour participer au concours, il faut, une fois cette adresse trouvée :

• envoyer aussitôt un courrier électronique à cette adresse (pour le classement rapidité);
• PUIS envoyer dans les quinze jours (à partir de la date de réception du message précédent par le serveur mail du SSTIC) une réponse qui décrit la démarche suivie (pour le classement qualité).

Des flags intermédiaires (optionnels) de la forme SSTIC{...} sont disponibles au fur et à mesure de la résolution. Vous pouvez les saisir si vous le souhaitez, en bas cette page, tout en étant connecté.

Le challenge est disponible ici : https://static.sstic.org/challenge2021/usb_capture_CO.pcapng

SHA256: 36f3e5c98f7201ae967fd278c64b5601ecb298f37b5b7e2afcebaf3d64ef54be

L'équipe d'organisation tient à rappeler qu'aucun matériel spécifique n'est nécessaire à la résolution du challenge.

Edit: Certaines parties du challenge ont été déployées en ligne lors du challenge et peuvent ne plus être accessibles. Vous pouvez redéployer ces parties chez vous en utilisant le dépôt https://github.com/challengeSSTIC2021/offline

Lots

Comme les années précédentes, deux classements seront établis, selon :

• la rapidité de résolution;
• la qualité de la réponse.

Des flags de validation intermédiaires sont présents dans le challenge. Il n'est pas nécessaire de tous les retrouver pour obtenir l'adresse e-mail de validation finale. Le classement rapidité ne tient pas compte des validations intermédiaires. En revanche, le classement qualité prendra en compte ces flags de validation, ainsi que l'élégance des solutions proposées.

Ainsi, même sans être dans les plus rapides, il est possible de gagner un lot en rédigeant une réponse claire, complète et détaillée. Les lots seront remis lors de la conférence, ou dès que possible en cas de problème d'approvisionnement. Les lots à gagner pour les trois premiers de chaque classement sont:

• 1er prix : Switch lite + jeu au choix
• 2eme prix : Imprimante 3D Creality Ender 3
• 3eme prix : FONGWAH Reader/Writer NFC/RFID S9-BU-13-00

Classements

Classement Rapidité

Classement Qualité

Le gagnant du classement qualité présentera sa solution, en français, lors de la conférence.

Règlement

• Le concours est ouvert à tous, à l'exception des membres des comités d'organisation et de programme de SSTIC 2021, aux employés de Quarkslab, Thalium et Apple Media Product RedTeam.
• Pour gagner, les participants doivent trouver une adresse ( ...@challenge.sstic.org ) et envoyer un courrier électronique à cette adresse, puis envoyer une solution dans les quinze jours (et avant la fin du concours).
• Cette réponse devra être rédigée en français ou en anglais et aussi détaillée que possible. Elle précisera les problématiques techniques du défi ainsi que la démarche et les outils utilisés pour les résoudre.
• Les réponses seront évaluées par un jury constitué des concepteurs du challenge et du comité d'organisation du SSTIC.
• La date de clôture du concours est le 20 mai 2021 à 23:59:59 (UTC+2).
• Un même participant peut gagner plusieurs lots, un par classement.
• Les participations sont individuelles, le concours n'est pas ouvert aux équipes. Néanmoins, l'appel à un ami est autorisé.
• En prenant part au concours, les participants donnent tacitement leur accord pour la publication de leur réponse sur le site du SSTIC, associée à leur nom ou pseudonyme.
• Pour la remise des lots, les gagnants devront fournir leur identité à l'association STIC.
• Si le nombre de réponses valides est inférieur à trois, le concours pourra être prolongé.

Contact

Pour toute question, merci de contacter challenge2021@sstic.org.

Root

• Brice Berna (@__brendel)
• William Crookes
• Nicolas Surbayrole