Question 1

What is Air gap?

Accepted Answer

Isoler physiquement un réseau ou une machine d’internet et de tout autre réseau, de sorte qu’il n’existe aucun chemin filaire ou sans fil pour entrer ou sortir. C’est un contrôle solide pour les systèmes critiques comme les automates industriels, mais pas une garantie : tout ce qu’une personne transporte au travers (une clé USB, un ordinateur portable, la machine d’un prestataire) peut emporter un malware avec lui. Stuxnet a franchi un air gap sur une clé USB pour atteindre les centrifugeuses d’enrichissement iraniennes.

Question 2

What is Analyse d’atteignabilité?

Accepted Answer

Déterminer si une fonction vulnérable d’une dépendance est réellement appelée par votre code. Une CVE dans un paquet que vous importez mais n’exercez jamais sur un chemin vulnérable est bien moins prioritaire. L’atteignabilité réduit drastiquement le bruit des dépendances en séparant « présent » de « exploitable ».

Question 3

What is APT?

Accepted Answer

Un attaquant aux moyens importants, généralement un État-nation, qui pénètre discrètement et s’installe sur la durée, des mois ou des années, en avançant lentement pour éviter la détection pendant qu’il vole des données ou se pré-positionne pour un sabotage. Contrairement aux criminels du « vite fait », une APT est patiente, ciblée, et prête à dépenser beaucoup d’argent et des outils sur mesure pour un seul objectif. La fuite de l’OPM en 2015, où un groupe lié à la Chine est resté plus d’un an sans être détecté et a emporté 21,5 millions de dossiers d’habilitation américains, en est un cas d’école.

Question 4

What is Attaque de la chaîne d’approvisionnement?

Accepted Answer

Compromettre un logiciel en attaquant ce dont il dépend, un paquet npm populaire, un outil de build, un runner CI, plutôt que la cible directement. Une seule dépendance empoisonnée atteint chaque projet qui l’installe, ce qui explique pourquoi des incidents comme event-stream, SolarWinds et la backdoor xz ont été si dévastateurs.

Question 5

What is Attaque DMA?

Accepted Answer

L’accès direct à la mémoire (DMA) permet à un périphérique matériel, comme un contrôleur USB ou Thunderbolt, de lire et d’écrire directement dans la mémoire système sans passer par le processeur, pour gagner en vitesse. Une attaque DMA détourne ce pouvoir : un périphérique malveillant ou bogué écrit dans une mémoire qu’il ne devrait jamais toucher, corrompant code ou données pour prendre le contrôle. La défense est une IOMMU (Apple appelle la sienne DART), un garde-barrière matériel qui restreint la mémoire qu’un périphérique peut atteindre ; la laisser désactivée ou en mode « bypass » supprime ce garde-fou. L’exploit usbliter8 a fait reculer le pointeur d’écriture DMA d’un contrôleur USB jusque dans une mémoire protégée, précisément parce que l’IOMMU était laissée en mode bypass.

Question 6

What is BootROM / SecureROM?

Accepted Answer

Le tout premier code qu’une puce exécute à l’allumage, aussi appelé boot ROM ou, sur les appareils Apple, SecureROM. Il est gravé de façon permanente dans le silicium en usine, donc aucune mise à jour logicielle ne peut en modifier la moindre instruction, et il ancre la chaîne de confiance : il vérifie cryptographiquement l’étape de démarrage suivante, qui vérifie la suivante, jusqu’au système d’exploitation. Un bug à ce niveau est le plus puissant et le plus permanent qui soit, car il se situe sous tout le reste et ne pourra jamais être corrigé sur le matériel déjà vendu ; le seul vrai correctif est une nouvelle révision de la puce. Les exploits checkm8 (2019) et usbliter8 (2026) ont tous deux cassé la SecureROM d’Apple de cette manière.

Question 7

What is Botnet?

Accepted Answer

Un réseau d’appareils connectés, ordinateurs, serveurs, routeurs, caméras, qu’un attaquant a discrètement compromis et contrôle à distance, tous à la fois, le plus souvent à l’insu des propriétaires. Les botnets sont loués pour envoyer du spam, miner de la cryptomonnaie ou, de façon plus visible, déchaîner d’énormes flots de trafic dans des attaques DDoS. Le botnet Mirai de 2016 a montré à quel point ils étaient devenus dangereux en asservissant des centaines de milliers d’objets connectés non sécurisés via des mots de passe par défaut jamais changés.

Question 8

What is Bourrage d’identifiants?

Accepted Answer

Reprendre des couples identifiant/mot de passe fuités d’une compromission et les essayer automatiquement, par millions, sur d’autres sites, en pariant sur la réutilisation des mots de passe. Ce n’est pas une faille du code du site visé ; c’est le coût en aval de chaque fuite précédente conjugué à la réutilisation des mots de passe, d’où l’importance du MFA et des vérifications de mots de passe compromis. La fuite de 23andMe en 2023 était du pur credential stuffing : aucune faille chez 23andMe, juste des mots de passe réutilisés, qu’une fonction de partage de données a ensuite transformés en millions de dossiers exposés.

Question 9

What is Bug de logique & d’exactitude?

Accepted Answer

Un bug où le code s’exécute mais fait la mauvaise chose, pas une faille exploitable, mais l’erreur honnête d’un ingénieur rigoureux. Des ID entiers approchant la limite de leur type à grande échelle, de l’argent géré en flottant (0,1 + 0,2 ≠ 0,3), des limites off-by-one, des invariants cassés, des cas limites non traités. Rarement exploitable, mais une cause majeure de pannes, de corruption de données et d’incidents coûteux, la raison d’être de l’industrie de l’audit de sécurité. L’audit profond adverse de Stateward les traque en raisonnant sur ce que chaque fonction doit garantir et en tentant de le casser, pas en faisant correspondre des CVE connues.

Question 10

What is Cache de pages?

Accepted Answer

Le réservoir de mémoire que le noyau du système d’exploitation utilise pour garder en RAM le contenu des fichiers récemment utilisés, afin que les programmes n’aient pas à lire le disque à chaque fois. Quand vous lancez un programme, le processeur exécute les octets de ses pages en cache, et non une relecture depuis le disque. Cela fait du cache de pages une cible de grande valeur : corrompre la copie en cache d’un exécutable change son comportement au prochain lancement, alors que le fichier sur disque reste intact, si bien que les scanners d’intégrité basés sur le disque ne voient rien. Toute une famille de bugs d’élévation de privilèges Linux (Dirty COW, Dirty Pipe et Copy Fail) fonctionne en glissant une écriture dans des pages du cache qui auraient dû être en lecture seule.

Question 11

What is Cheval de Troie d’accès à distance?

Accepted Answer

Un malware qui donne à un attaquant le contrôle à distance d’une machine infectée : exécuter des commandes, lire et écrire des fichiers, et télécharger d’autres charges utiles, généralement en communiquant discrètement avec un serveur de commande et contrôle. Contrairement à un voleur ponctuel, un RAT est une porte ouverte que l’attaquant continue d’utiliser. La compromission d’axios en 2026 a déposé un RAT multiplateforme (WAVESHAPER.V2) sur toute machine ayant installé les versions empoisonnées, avec des variantes natives pour Windows, macOS et Linux.

Question 12

What is Clé privée?

Accepted Answer

Le nombre secret qui contrôle un portefeuille ou un compte de cryptomonnaie. Quiconque détient la clé privée peut déplacer les fonds, point final : il n’y a pas de banque à appeler ni de réinitialisation de mot de passe. La gestion des clés est donc l’enjeu central de la sécurité crypto, et la plupart des grands vols ne tiennent pas à des subtilités de contrat mais à une clé privée volée ou mal signée. Le vol de Bybit en 2025, le plus important de l’histoire avec environ 1,5 milliard de dollars, était au fond une compromission de signature.

Question 13

What is Confusion de dépendances?

Accepted Answer

Tromper un gestionnaire de paquets pour qu’il tire un paquet public au lieu de votre paquet privé, en publiant un numéro de version supérieur sous le même nom sur un registre public. Cela permet à un attaquant d’injecter du code dans les builds internes ; le correctif passe par des registres à portée (scoped) et un épinglage explicite des sources.

Question 14

What is Contrat intelligent?

Accepted Answer

Un programme qui s’exécute sur une blockchain et contrôle directement des fonds ou des actifs : du code qui s’exécute automatiquement et de façon irréversible dès que ses conditions sont remplies. Sa puissance et son danger ne font qu’un, car une fois déployé il ne peut généralement plus être corrigé, et un bug n’est pas un plantage mais un coffre que n’importe qui peut vider. La plupart des grands vols DeFi ne sont que de la logique de contrat exploitée. Le hack de The DAO en 2016, où une faille a permis de siphonner un tiers d’un fonds de 150 millions de dollars, fut le premier à en prouver l’enjeu.

Question 15

What is Cryptojacking?

Accepted Answer

Détourner les ordinateurs, serveurs ou comptes cloud de quelqu’un d’autre pour miner secrètement de la cryptomonnaie, en volant sa puissance de calcul et son électricité à des fins lucratives. Comme il cherche à rester discret plutôt qu’à détruire, le cryptojacking est souvent le premier signe visible d’une compromission plus profonde : un attaquant capable de lancer un mineur dans votre cloud peut généralement faire bien pire. Tableaux de bord exposés, conteneurs non sécurisés et clés cloud fuitées sont les points d’entrée habituels, comme lorsque des attaquants ont trouvé une console Kubernetes ouverte dans le cloud de Tesla en 2018 pour y miner.

Question 16

What is CVE?

Accepted Answer

Un identifiant unique pour une vulnérabilité publiquement divulguée dans un produit ou une bibliothèque précis, par exemple CVE-2021-44228 (Log4Shell). Les CVE sont la langue commune de la gestion des vulnérabilités, votre outil SCA confronte vos dépendances à la base CVE.

Question 17

What is CVSS?

Accepted Answer

Un score de 0 à 10 pour la gravité d’une vulnérabilité, basé sur l’exploitabilité et l’impact. Utile pour classer, mais aveugle au contexte : un 9,8 dans un paquet que vous n’atteignez pas compte moins qu’un 6,5 sur votre chemin d’authentification. Couplez le CVSS à l’atteignabilité et au statut d’exploitation (KEV) pour prioriser honnêtement.

Question 18

What is CWE?

Accepted Answer

Un catalogue communautaire de types de faiblesses logicielles, chacun avec un identifiant comme CWE-89 (injection SQL) ou CWE-79 (cross-site scripting). Le CWE classe le type de faille ; la CVE identifie un produit vulnérable précis. Les findings mappés au CWE sont plus faciles à trier, dédupliquer et transformer en preuves de conformité.

Question 19

What is Cyber Resilience Act européen?

Accepted Answer

Un règlement européen fixant des exigences de cybersécurité pour les produits comportant des éléments numériques tout au long de leur cycle de vie, dont la gestion des vulnérabilités et une SBOM. Il fait passer le « secure by design » de bonne pratique à obligation légale pour les produits vendus dans l’UE.

Question 20

What is DDoS?

Accepted Answer

Une attaque qui met un service hors ligne non pas en s’y introduisant mais en le submergeant, en l’inondant de plus de trafic ou de requêtes qu’il ne peut en traiter, généralement depuis un botnet de milliers de machines à la fois (ce qui la rend distribuée et difficile à bloquer par simple adresse IP). Le DDoS vise la disponibilité, pas les données. En 2016, le botnet Mirai a dirigé un flot record contre le fournisseur DNS Dyn et a mis hors ligne une grande partie de l’internet américain, Twitter, Netflix, Reddit, pendant des heures.

Question 21

What is Débordement d’entier?

Accepted Answer

Un calcul qui produit une valeur supérieure à ce qu’un entier de taille fixe peut contenir : au lieu d’échouer, il « repasse » silencieusement à un nombre petit ou erroné. Un cousin proche est une vérification de borne écrite avec la mauvaise limite, qui laisse passer une valeur qui déborde. Dans les calculs financiers ou DeFi, c’est dévastateur : un attaquant peut faire croire à un contrat qu’un dépôt quasi nul vaut une somme énorme, puis retirer de vrais fonds. Le bug se cache souvent dans une bibliothèque mathématique partagée, si bien qu’une seule constante erronée peut vider plusieurs protocoles à la fois. Le hack Cetus à 223 M$ sur Sui vient exactement de là : une vérification de débordement défaillante dans la bibliothèque partagée integer-mate a crédité un dépôt d’un seul jeton comme une liquidité astronomique.

Question 22

What is Débordement de tampon?

Accepted Answer

Un bug de sécurité mémoire où un programme lit ou écrit au-delà de la fin d’un tampon, le bloc de mémoire de taille fixe qui lui a été alloué. Une écriture au-delà (débordement) peut corrompre la mémoire et permettre l’exécution de code ; une lecture au-delà (over-read) peut divulguer les données sensibles voisines. C’est le fléau classique des langages comme le C et le C++ qui ne vérifient pas les limites mémoire à votre place. Heartbleed était un célèbre over-read dans OpenSSL qui divulguait clés privées et mots de passe ; l’exploit EternalBlue derrière WannaCry était un débordement.

Question 23

What is DeFi?

Accepted Answer

Des services financiers, prêt, échange, produits dérivés, construits comme des contrats intelligents sur une blockchain plutôt que via des banques, sans intermédiaire et sans personne à appeler en cas de problème. Les protocoles DeFi détiennent des milliards en fonds mutualisés gouvernés entièrement par du code, ce qui en fait une prime de bug géante et permanente : une seule faille de logique peut vider un protocole en une transaction. Les classes d’exploit DeFi récurrentes sont la réentrance, la manipulation d’oracle de prix et les attaques par flash loan.

Question 24

What is Déplacement latéral?

Accepted Answer

Ce que fait un attaquant après le premier point d’entrée : passer de la machine ou du compte initialement compromis vers les données ou systèmes réellement convoités, à l’aide d’identifiants volés, de services internes non corrigés ou de permissions trop larges. La plupart des compromissions ne sont pas un exploit ingénieux unique mais une chaîne de petits sauts à travers un réseau plat et trop confiant. D’où l’importance de la segmentation et du moindre privilège : ils transforment un point d’entrée unique en impasse plutôt qu’en passe-partout. Lors de la fuite Target de 2013, les attaquants sont passés de l’accès d’un prestataire de climatisation jusqu’aux caisses enregistreuses.

Question 25

What is Détection de secrets?

Accepted Answer

Détecter les identifiants, clés API, jetons, clés privées, URL de bases de données, commités dans le contrôle de version. Le correctif n’est jamais juste de supprimer la ligne : un secret fuité dans l’historique git est compromis et doit être renouvelé. Stateward scanne chaque diff au commit, avant que le secret n’atteigne une branche partagée.

Question 26

What is Détournement de session?

Accepted Answer

Voler le jeton ou le cookie qui prouve qu’un utilisateur est déjà connecté, et le rejouer pour prendre le contrôle de sa session sans jamais avoir besoin de son mot de passe ni de son MFA. Comme le jeton représente une session déjà authentifiée, il contourne entièrement les défenses de connexion, d’où l’intérêt de voler des cookies de session, via un malware, le téléversement d’un fichier de support ou un script malveillant. La fuite du support Okta en 2023 a fonctionné ainsi : les attaquants ont récupéré des jetons de session dans des fichiers téléversés par des clients et s’en sont servis pour entrer dans les comptes de ces clients.

Question 27

What is DORA?

Accepted Answer

Un règlement européen pour le secteur financier couvrant le risque informatique, le risque tiers et la résilience opérationnelle. Comme NIS2, il exige une posture de sécurité démontrable et continue plutôt que des audits ponctuels, exactement les preuves prêtes pour l’audit que Stateward génère à chaque pull request.

Question 28

What is Élévation de privilèges?

Accepted Answer

Obtenir plus de droits que ceux qui vous sont accordés. L’élévation verticale consiste à passer d’un utilisateur normal à un administrateur ou, sous Linux, à root (UID 0) ; l’élévation horizontale consiste à prendre le contrôle d’un autre compte de même niveau. Une élévation locale de privilèges (LPE) part de n’importe quel pied dans la machine, même un shell non privilégié, et finit au contrôle total, ce qui la rend si dangereuse sur les systèmes partagés où du code non fiable s’exécute déjà, comme les runners CI, les serveurs multi-locataires et les nœuds Kubernetes. Le bug noyau Copy Fail (CVE-2026-31431) est une LPE d’école : un utilisateur ordinaire devient root avec un script minuscule.

Question 29

What is Évasion de conteneur?

Accepted Answer

Sortir d’un conteneur pour atteindre la machine hôte ou les autres conteneurs qui y tournent. Les conteneurs partagent un seul noyau de système d’exploitation et ne semblent isolés qu’en apparence ; ils sont une frontière de ressources, pas une vraie frontière de sécurité. Un seul bug noyau peut effacer cette séparation, permettant au code d’un conteneur de lire ou de corrompre un autre locataire ou l’hôte. C’est le cauchemar de Kubernetes et du cloud multi-locataire, où de nombreuses charges non fiables partagent un nœud. Copy Fail (CVE-2026-31431) est une évasion de conteneur car le cache de pages du noyau qu’il corrompt est partagé par tous les conteneurs de l’hôte ; une vraie isolation exige un noyau séparé, comme gVisor, Kata Containers ou une microVM.

Question 30

What is Exposition de source maps?

Accepted Answer

Livrer une source map JavaScript (.map) en production, ou dans un paquet publié, de sorte que n’importe qui puisse télécharger votre code source original. Les bundlers intègrent tout le code dans le champ sourcesContent de la map, donc une map exposée fuit le code non minifié, les commentaires internes, les endpoints d’API cachés et tout secret compilé, le front-end de l’App Store d’Apple et Claude Code d’Anthropic en ont livré une par accident. Stateward le détecte (CWE-540) dans la pull request : un artefact .map commité, un sourceMappingURL laissé dans un bundle livré, ou une config de build qui émet des maps de production (Vite, webpack, Next.js, Create React App, Vue, Rollup), pour que cela n’atteigne jamais la production.

Question 31

What is Extorsion de données?

Accepted Answer

Voler les données d’une organisation et menacer de les publier faute de paiement, avec ou sans chiffrement des systèmes. La « double extorsion » désigne le cas où les groupes de rançongiciel font les deux : chiffrer pour perturber et divulguer pour faire pression, de sorte que de bonnes sauvegardes seules ne suffisent plus. Certains groupes sautent entièrement le chiffrement et se contentent de voler et d’extorquer, comme le gang Clop l’a fait en volant en masse les données de milliers d’organisations via la faille de transfert de fichiers MOVEit en 2023.

Question 32

What is Fatigue MFA?

Accepted Answer

Une attaque qui abuse de l’authentification multifacteur par notification push. Après avoir volé un mot de passe valide, l’attaquant déclenche un flot de demandes d’approbation MFA (aussi appelé push bombing) jusqu’à ce qu’un utilisateur fatigué ou désorienté finisse par appuyer sur « Approuver », souvent aidé par l’attaquant qui se fait passer pour le support informatique par téléphone, SMS ou WhatsApp. Cela contourne le MFA sans casser aucune cryptographie. La parade : un MFA résistant au phishing et adossé au matériel (passkeys FIDO2/WebAuthn), le number-matching, et le plafonnement des demandes répétées ; la règle pour les utilisateurs est que le vrai support ne vous demande jamais d’approuver une connexion que vous n’avez pas lancée. C’est ainsi qu’Uber a été compromis en 2022.

Question 33

What is Faux positif?

Accepted Answer

Un finding qu’un outil signale mais qui n’est pas réellement exploitable dans votre contexte. Les taux élevés de faux positifs sont la raison principale pour laquelle les équipes ignorent les outils de sécurité. Stateward les réduit en validant les findings contre le graphe d’appels réel et l’atteignabilité, et en réfutant les candidats de façon adverse avant de rendre un verdict.

Question 34

What is Graphe d’appels?

Accepted Answer

Un modèle de quelles fonctions appellent quelles autres dans tout votre code. C’est ce qui permet à un outil de suivre une donnée depuis une entrée non fiable (un paramètre de requête) jusqu’à un sink dangereux (une requête de base de données ou une commande shell) même quand ils vivent dans des fichiers différents. Stateward en construit un dans le cadre de sa base de connaissances sur tout le code.

Question 35

What is Hallucination d’IA?

Accepted Answer

Quand un modèle d’IA affirme quelque chose de faux avec une totale assurance, en inventant un fait, une citation, une politique ou une API qui n’existe pas. L’hallucination n’est pas un bug que l’on corrige entièrement mais une propriété du fonctionnement des modèles de langage : ils prédisent un texte plausible, pas une vérité vérifiée. Cela devient un problème de sécurité et de responsabilité quand cette sortie est crue, un chatbot inventant une politique de remboursement (ce pour quoi Air Canada a été tenue responsable en 2024), ou une IA suggérant un nom de paquet inexistant, que des attaquants enregistrent ensuite avec du malware. La parade : ancrer la sortie de l’IA dans des données vérifiées et ne jamais la considérer comme faisant autorité à elle seule.

Question 36

What is Hameçonnage?

Accepted Answer

Pousser une personne à livrer ses identifiants, de l’argent ou un accès en se faisant passer pour quelqu’un de confiance, le plus souvent par e-mail mais aussi par SMS (smishing), téléphone (vishing) ou fausse page de connexion. C’est la première étape la plus courante d’une compromission car elle vise les humains, pas le code : aucune faille logicielle n’est nécessaire si l’on convainc quelqu’un de taper son mot de passe au mauvais endroit. Les versions ciblées sur une personne précise, le spear phishing, sont à l’origine de nombreuses intrusions célèbres.

Question 37

What is Hard fork?

Accepted Answer

Un changement incompatible des règles d’une blockchain qui la scinde en deux : les nœuds qui se mettent à jour suivent la nouvelle chaîne, ceux qui ne le font pas conservent l’ancienne, et les deux peuvent survivre comme des cryptos distinctes. Les hard forks sont la façon dont une communauté change les règles, ou annule une catastrophe. Après que le hack de The DAO en 2016 eut siphonné un tiers d’un fonds de 150 millions de dollars, Ethereum a bifurqué pour annuler le vol, et la minorité opposée, au nom du principe « le code fait loi », a maintenu la chaîne d’origine sous le nom d’Ethereum Classic.

Question 38

What is Hot wallet et stockage à froid?

Accepted Answer

Un hot wallet garde ses clés privées sur un système connecté à internet pour déplacer les fonds rapidement, ce dont une plateforme a besoin pour les retraits, et c’est précisément ce qu’un attaquant qui la compromet vise en premier. Le stockage à froid garde les clés hors ligne, hors de portée. La parade standard : conserver la grande majorité des fonds en stockage à froid et dimensionner le hot wallet sur le seul besoin opérationnel quotidien, pour qu’une compromission ne vide qu’un montant survivable plutôt que tout.

Question 39

What is ICS / SCADA?

Accepted Answer

Les ordinateurs et automates qui pilotent des procédés physiques : réseaux électriques, oléoducs, traitement de l’eau, usines. Le SCADA est le logiciel de supervision que regardent les opérateurs ; les PLC (automates programmables) sont les petits ordinateurs durcis qui ouvrent réellement les vannes et font tourner les moteurs. Conçus pour la fiabilité et la disponibilité, pas pour la sécurité, ils tournent souvent pendant des décennies sans correctifs, d’où le fait qu’un attaquant qui les atteint peut causer des dégâts physiques bien réels. Les défendre est une discipline à part, la sécurité OT (technologies opérationnelles).

Question 40

What is IDOR?

Accepted Answer

Exposer une référence à un objet interne, un id de base de données dans une URL, sans vérifier que l’utilisateur courant a le droit d’y accéder, si bien que changer /invoice/123 en /invoice/124 fuit les données d’autrui. C’est une forme de contrôle d’accès cassé, le premier risque OWASP, et l’autorisation doit être vérifiée côté serveur à chaque requête.

Question 41

What is Infostealer?

Accepted Answer

Un logiciel malveillant qui moissonne discrètement tout ce qui est utile sur une machine infectée, mots de passe enregistrés dans le navigateur, cookies de session, données de remplissage automatique et portefeuilles crypto, et l’envoie à l’attaquant. Les infostealers sont devenus le moteur des compromissions modernes : un seul ordinateur infecté, souvent personnel, fait fuiter des identifiants d’entreprise ensuite vendus sur des marchés criminels et utilisés pour se connecter aux systèmes de la société. Les attaques Snowflake de 2024, qui ont touché des dizaines de grandes entreprises, ont été alimentées par des identifiants volés sur des machines infectées par des infostealers, là où le MFA n’était pas imposé.

Question 42

What is Ingénierie sociale?

Accepted Answer

Manipuler des personnes plutôt que des machines pour entrer : convaincre un support de réinitialiser un mot de passe, un employé d’approuver une connexion, ou un prestataire d’exécuter un « correctif ». Le phishing est une forme d’ingénierie sociale ; d’autres consistent à se faire passer pour l’informatique au téléphone, à bâtir une fausse confiance sur des semaines, ou simplement à demander avec assez d’aplomb. Cela fonctionne car cela contourne tout contrôle technique, d’où l’importance d’associer une bonne technologie à des personnes formées et méfiantes.

Question 43

What is Injection de prompt?

Accepted Answer

Manipuler une application pilotée par LLM en glissant des instructions dans son entrée, directement, ou indirectement via du contenu que le modèle lit ensuite (une page web, un document, un résultat d’outil). C’est la classe de vulnérabilité emblématique des applications IA, sans correctif unique ; on la contient par moindre privilège, validation des sorties et approbation humaine pour les actions sensibles.

Question 44

What is Injection SQL?

Accepted Answer

Insérer une entrée contrôlée par l’attaquant dans une requête de base de données pour en changer le sens, permettant de lire, modifier ou détruire des données. Le correctif, ce sont les requêtes paramétrées (paramètres liés), jamais la concaténation de chaînes. C’est le CWE-89, un classique de l’OWASP Top 10.

Question 45

What is Jailbreak?

Accepted Answer

Lever les restrictions logicielles qu’Apple intègre à iOS pour qu’un appareil puisse exécuter du code non signé et des logiciels non approuvés par Apple. Cela se fait en enchaînant des exploits qui défont la chaîne de confiance, du chargeur de démarrage vers le haut. Un jailbreak fondé sur un exploit BootROM est « tethered » ou « semi-tethered » : comme la faille sous-jacente réside dans un silicium immuable, il ne peut pas être rendu permanent, donc l’exploit doit être relancé par USB à chaque redémarrage. Ce même accès bas niveau alimente aussi les outils d’extraction forensique des iPhone. checkm8 a alimenté le jailbreak checkra1n sur les anciens appareils ; usbliter8 ouvre la même porte sur les A12 et A13.

Question 46

What is KEV?

Accepted Answer

La liste de référence de la CISA des vulnérabilités activement exploitées dans la nature. Une entrée KEV signifie que des attaquants l’utilisent en ce moment, elle passe donc devant dans la file de correctifs quel que soit son score CVSS. Le flux en direct de Stateward fait remonter les entrées KEV dès leur publication.

Question 47

What is MFA?

Accepted Answer

Exiger plus qu’un mot de passe pour se connecter, en ajoutant un second facteur : un code, une notification d’application, ou idéalement une clé matérielle. Le MFA est le contrôle le plus rentable contre les mots de passe volés ou devinés, car le mot de passe seul ne suffit plus. Mais tous les MFA ne se valent pas : les codes SMS et les simples notifications peuvent être hameçonnés ou épuisés (voir la fatigue MFA), tandis que les facteurs résistants au phishing comme les passkeys FIDO2/WebAuthn, non. L’arrêt de Colonial Pipeline en 2021 a commencé par un compte VPN sans aucun MFA.

Question 48

What is MSP?

Accepted Answer

Une entreprise à qui vous confiez votre informatique : elle gère vos serveurs, met à jour vos logiciels et utilise des outils de gestion à distance (RMM) qui pénètrent profondément dans votre réseau avec de hauts privilèges. Cette portée est le risque. Compromettez un seul MSP, ou l’outil qu’il utilise, et vous compromettez tous ses clients d’un coup. L’attaque Kaseya de 2021 a fait exactement cela, poussant un rançongiciel via des MSP jusqu’à environ 1 500 de leurs clients en aval, en une seule fois.

Question 49

What is Multisig?

Accepted Answer

Un portefeuille ou contrat qui exige plusieurs clés indépendantes pour approuver une transaction (par exemple 3 sur 5), de sorte qu’aucune clé volée seule ne puisse déplacer les fonds. C’est un contrôle solide quand les clés sont réellement détenues par des personnes et systèmes différents, et quand la règle est appliquée là où un client ne peut pas la contourner. Cela échoue quand trop de clés se retrouvent au même endroit : lors du hack de Ronin en 2022, l’attaquant a obtenu cinq des neuf clés de validateur et vidé le pont.

Question 50

What is NIS2?

Accepted Answer

Une directive européenne (2022) qui élargit les obligations de cybersécurité aux entités essentielles et importantes, avec des exigences de gestion des risques, de sécurité de la chaîne d’approvisionnement et de notification d’incidents. Elle relève le niveau de preuve attendu en sécurité logicielle ; Stateward y mappe les findings et garde les données hébergées en UE avec résidence des données dans l’UE.

Question 51

What is OWASP Top 10?

Accepted Answer

La liste classée des dix risques les plus critiques des applications web, par l’Open Worldwide Application Security Project, contrôle d’accès cassé, injection, défaillances cryptographiques, etc. C’est la checklist de référence des auditeurs et des cadres ; Stateward mappe chaque finding à sa catégorie OWASP.

Question 52

What is Pont inter-chaînes?

Accepted Answer

Un service qui déplace des actifs crypto entre blockchains (par exemple d’Ethereum vers une chaîne moins chère), généralement en verrouillant l’actif d’un côté et en émettant une copie de l’autre. Les ponts sont l’endroit où l’on a volé le plus d’argent en crypto, car ils concentrent d’énormes réserves et leur sécurité repose souvent sur un petit nombre de signataires ou une seule étape de vérification. Cassez cela, comme les attaquants l’ont fait sur Ronin (environ 625 millions de dollars) et Wormhole (environ 325 millions) en 2022, et tout le coffre s’ouvre.

Question 53

What is Porte dérobée?

Accepted Answer

Un accès caché à un système qui contourne l’authentification normale, placé délibérément par un attaquant (ou, parfois, laissé par un développeur négligent). Le danger d’une porte dérobée, c’est que tout semble normal : le système fonctionne, la connexion demande toujours un mot de passe, mais l’attaquant détient une clé secrète qui passe outre. Les portes dérobées sont le butin des attaques de la chaîne d’approvisionnement, car une seule, glissée dans un logiciel largement utilisé, comme celle presque introduite dans la bibliothèque de compression xz en 2024, aurait donné à un attaquant un accès silencieux à des millions de serveurs.

Question 54

What is Prêt flash?

Accepted Answer

Un prêt de plusieurs millions en crypto sans garantie ni vérification de crédit, à une condition : vous l’empruntez et le remboursez dans une seule transaction blockchain, sinon l’ensemble est automatiquement annulé comme s’il n’avait jamais eu lieu. Les prêts flash sont un outil DeFi légitime, mais ils donnent à tout attaquant un accès temporaire et gratuit à un capital énorme, ensuite utilisé pour amplifier un bug, manipuler un oracle de prix ou submerger les calculs d’un protocole. Beaucoup des plus grands exploits DeFi, dont le hack d’Euler en 2023, ont été propulsés par des prêts flash.

Question 55

What is Provenance de build?

Accepted Answer

Un enregistrement signé et vérifiable par machine de la façon dont un artefact logiciel a été construit : quel commit source, quel système de build, quel pipeline l’a produit. SLSA est le cadre courant, avec des niveaux décrivant la résistance à la falsification de cet enregistrement. C’est un contrôle d’intégrité puissant, mais l’attaque Miasma de 2026 contre Red Hat en a montré la limite : la provenance prouve qu’un paquet a été construit par un pipeline donné, pas que ce pipeline était sain. Compromettez l’identité du build et l’attestation signera fidèlement un malware ; il faut donc voir la provenance comme une garantie d’intégrité, pas de confiance.

Question 56

What is Publication de confiance?

Accepted Answer

Un moyen pour un pipeline CI de publier un paquet sans stocker de secret longue durée. Au lieu d’un jeton statique, le pipeline demande au moment de la publication un jeton d’identité OpenID Connect (OIDC) à courte durée de vie, que le registre vérifie et échange contre un droit de publication unique. npm et GitHub l’ont promu comme la voie recommandée après le ver Shai-Hulud, car il ne reste aucun jeton durable à voler et réutiliser. Le piège, révélé par l’attaque Miasma, est qu’il sécurise le jeton, pas le pipeline : si un attaquant contrôle le workflow qui demande le jeton, la publication de confiance lui remettra une version valide.

Question 57

What is Pulvérisation de mots de passe?

Accepted Answer

Une attaque de connexion qui inverse la force brute : au lieu d’essayer beaucoup de mots de passe sur un compte (ce qui déclenche les blocages), l’attaquant essaie un ou deux mots de passe très courants sur de nombreux comptes. Lente et discrète, elle reste sous les seuils de limitation et de verrouillage, et il suffit d’une personne utilisant « Winter2024! » pour entrer. Elle fonctionne contre tout compte sans MFA. En 2024, le SVR russe a utilisé la pulvérisation de mots de passe pour compromettre un compte de test oublié chez Microsoft et pivoter vers les e-mails de cadres dirigeants.

Question 58

What is Rançongiciel?

Accepted Answer

Un malware qui chiffre les fichiers ou des systèmes entiers d’une victime et exige un paiement, généralement en cryptomonnaie, pour la clé de déchiffrement. Les groupes modernes volent aussi les données au préalable et menacent de les publier (double extorsion), si bien que payer ne garantit même pas la confidentialité. Les défenses qui marchent vraiment : des sauvegardes hors-ligne testées, des correctifs rapides, le MFA, et la segmentation pour qu’une machine infectée ne puisse pas tout atteindre.

Question 59

What is RCE?

Accepted Answer

Une vulnérabilité qui permet à un attaquant d’exécuter du code arbitraire sur votre serveur ou la machine d’un utilisateur, l’issue la plus grave, car elle signifie généralement une compromission totale. Elle arrive souvent via une désérialisation non sûre, une injection de commande ou une dépendance vulnérable comme Log4Shell.

Question 60

What is Réentrance?

Accepted Answer

Un bug de contrat intelligent où une fonction envoie des fonds à une adresse externe avant de mettre à jour sa propre comptabilité, et où le contrat destinataire rappelle pour retirer encore, et encore, avant que le solde ne soit décrémenté, si bien que le contrat paie plusieurs fois pour un seul retrait. C’est la plus ancienne et la plus célèbre classe d’exploit DeFi, le hack de The DAO en 2016 était une attaque par réentrance, et elle vide encore des protocoles aujourd’hui. La parade est le motif « checks-effects-interactions » : mettez à jour votre état avant tout appel externe.

Question 61

What is Rootkit?

Accepted Answer

Un malware qui se dissimule, ainsi que d’autres activités malveillantes, du système d’exploitation et des défenseurs en s’ancrant profondément dans le système (le noyau, les pilotes ou le firmware), de sorte que les fichiers, processus et connexions qu’il contrôle deviennent invisibles aux outils habituels. Comme il altère le système même que vous utiliseriez pour l’inspecter, une machine infectée par un rootkit ne peut pas être crue sur l’état qu’elle rapporte ; la seule réponse sûre est de la reconstruire depuis un support sain. Stuxnet embarquait à la fois un rootkit Windows et le premier rootkit connu pour des automates industriels.

Question 62

What is SAST?

Accepted Answer

Analyse du code source, sans l’exécuter, pour trouver des failles comme l’injection, le contrôle d’accès cassé ou la désérialisation non sûre. Le SAST classique travaille sur un seul fichier ou diff ; Stateward raisonne sur tout le code, son graphe d’appels et ses frontières de confiance, pour attraper les failles qui n’apparaissent qu’entre fichiers ou branches.

Question 63

What is SBOM?

Accepted Answer

Un inventaire lisible par machine de chaque composant et dépendance d’un logiciel, y compris transitifs. Des réglementations comme le décret américain 14028 et le Cyber Resilience Act européen l’exigent de plus en plus, car on ne peut pas défendre une chaîne d’approvisionnement qu’on ne peut pas énumérer.

Question 64

What is SCA?

Accepted Answer

Inventorier vos dépendances open source et les confronter aux vulnérabilités connues (CVE), au risque de licence et au risque de mainteneur. Une bonne SCA correspond à la version exacte installée et vous dit si le code vulnérable est réellement atteignable, au lieu d’alerter sur chaque paquet transitif.

Le vocabulaire sécurité, en clair

Voyez ces failles détectées sur une vraie pull request