Montréal

Welcome & Bienvenue to the OWASP Montréal chapter


The OWASP Foundation was established in 2001 as an open community and software security resource. Since then, OWASP has grown to be globally recognized as a credible source for application security standards.

OWASP is an open community dedicated to enabling organizations to conceive, develop, acquire, operate, and maintain applications that can be trusted. All of the OWASP tools, documents, forums, and chapters are free and open to anyone interested in improving application security. We advocate approaching application security as a people, process, and technology problem because the most effective approaches to application security include improvements in all of these areas.

OWASP is open to anyone. Anyone can attend OWASP's vendor agnostic local chapter meetings, participate in regional and global conferences, and contribute to the many OWASP projects. And anyone can start a new project, form a new chapter, or lend their expertise to help an OWASP Global Committee.

'''On parle français aussi ! Le chapitre de Montréal organise plusieurs activités gratuites afin de partager les connaissances en sécurité applicative avec la communauté de développeurs et gestionnaires. Suivez-nous sur les réseaux sociaux pour connaître les dates des conférences du midi et des workshops !'''

Top documentation from OWASP includes:


 * OWASP TOP 10 : The Ten Most Critical Web Application Security Risks


 * OWASP ASVS : Application Security Verification Standard


 * OWASP Testing Guide : Penetration Testing Framework


 * OWASP Code Review Guide : Source Code Analysis Framework


 * OWASP Cheat Sheet : Best practices guidelines for developers


 * OWASP Global

Chapter Leaders / Responsables du chapitre

 * [mailto:anne.gauthier@owasp.org Anne Gauthier], President/Présidente
 * [mailto:michel.bourque{at}owasp.org Michel Bourque], Chapter coordinator and marketing manager/Coordination et Marketing
 * [mailto:hugo.genesse(at)owasp.org Hugo Genesse], Web content and production manager/Site internet et Production
 * [mailto:olivier.arteau(at)owasp.org Olivier Arteau], Logistic manager/Logistique

 Volunteers / Volontaires OWASP Montréal: 
 * Simon Lacasse, Web content / Site internet
 * Julien Touche, Logistique
 * Jean-François Gill

Reach our chapter / Joindre le chapitre
Follow OWASP's Montreal chapter's activities through social medias, register to events, watch the previous presentations and more!

Suivez les activités du chapitre OWASP Montréal via les réseaux sociaux, inscrivez-vous aux activités, visualisez les anciennes présentations et plus encore!

Click here to join the local chapter mailing list.

Inscrivez-vous ici à la liste de courriels du chapitre afin de recevoir les dernières nouvelles!

Want to be part of the community ? Devenez membre de notre communauté ! Click here / Cliquer ici







What we do / Nos activités
OWASP Montreal is a really active chapter. We organize monthly conferences and workshops. All our events are free and meant to improve the knowledge and awareness of the community's developers, managers and computer security specialists. To be aware of the next event and for additional information, follow us on social medias.

OWASP Montréal est un des chapitres les plus actifs. Nous organisons mensuellement des ateliers et conférences. Tous nos événements sont gratuits et ont pour but d'améliorer les connaissances de la communauté. Ils s'adressent donc autant aux gestionnaires qu'aux développeurs et aux spécialistes en sécurité informatique. Pour plus d'informations sur nos activités et pour être au courant des prochaines dates d'événement, suivez nous sur les réseaux sociaux.

We also contribute to the vast OWASP knowledge base / Nous contribuons aussi aux ressources d'OWASP

We list here the projects that were started by our members under OWASP's banner.

Nous listons ici les projets commencé par nos membres sous la banière d'OWASP.


 * Vulnerability Disclosure Cheat Sheet

Sponsorship & Membership / Commandite & Adhésion
to this chapter or become a local chapter supporter.

Or consider the value of Individual, Corporate, or Academic Supporter membership. Ready to become a member?

Donnez au chapitre ou devenez commanditaire du chapitre local!

Devenez membre ! Pour en savoir davantage sur les avantages d’une adhésion individuelle, corporative ou en tant qu’institution d’enseignement, cliquez ici.

Chapter Supporters / Commanditaires du chapitre
All details available here / Pour tous les détails

Gold / Or


= Lunch & Learn / Workshops 2018 =

Operate PCI DSS infrastructure using DevOps approach


Watch the conference / Regarder la conférence

WHEN April 30 2018 WHERE Espace Desjardins

OWASP dans le cadre des Midis conférence est heureux d'accueillir Greg Castle.

L'événement contiendra une diffusion de "Shipping in Pirate-Infested Waters: Practical Attack and Defense in Kubernetes" présenté à Kubecon 2017, suivi de 20 min de questions/réponses avec Greg par vidéoconférence.

Biographie :

Greg est Tech Lead pour l'équipe sécurité Kubernetes et Google Container Engine chez Google. Avant GKE, Greg a travaillé dans l'équipe de réponse aux incidents de sécurité de Google, dévelopant des outils opensource d'investigations et à l'amélioration de la sécurité de Macos. Avant google, il a occupé de nombreuses positions incluant pentester, incident responder et analyste forensics.

Operate PCI DSS infrastructure using DevOps approach


See the slides / Voir la présentation

WHEN March 5 2018 WHERE Espace Desjardins

OWASP dans le cadre des Midis conférence est heureux d'accueillir, M. Gaëtan Trivino.

Notre conférencier viendra présenter l'influence de la culture devops sur les opérations d'un hébergeur international en particulier pour supporter les réglementations comme PCI DSS.

Biographie :

Gaëtan est DevOps technical leader orienté cloud et automatisation réseau. Il a traversé l'Atlantique avec sa famille pour explorer de nouvelles culture de travail et se lance dans la recherche du meilleur sirop d'érable!

= Lunch & Learn / Workshops 2015-2017 =

Pourquoi un hacker peut-il contourner les mesures et solutions de sécurité...


See the slides / Voir la présentation

WHEN September 18th 2017 WHERE Espace Desjardins

OWASP dans le cadre des Midis conférence est heureux de lancer la saison 2017-2018 en accueillant, M. Charles F. Hamilton.

Notre conférencier viendra brosser un tableau des différents éléments qui expliquent pourquoi les mesures et les solutions de sécurité en générales qui ont la fonction de protéger les données, les applications, les réseaux ou les équipements critiques sont si souvent contournées ou carrément inefficaces contre les attaques ciblées.

Biographie :

Charles F. Hamilton est un consultant en sécurité et membre d’équipe « Red Team » de calibre international. Il se spécialise en test d’intrusion et la recherche de solution proactive de sécurité.

Cas d'attaques vécus : Internet des objets (IOT) - Attaques DDoS


WHEN June 19th 2017 WHERE Espace Desjardins

Pour clore la saison printanière 2017, OWASP Montréal est fier d'accueillir au Midi Conférence, M. Christian Shink qui fera un survol de cas d'attaques vécus, des techniques utilisées et des acteurs impliqués dans ces attaques.

L'incorporation généralisée de dispositifs «intelligents» dans les objets de la vie de tous les jours modifie la façon dont les gens et les machines interagissent les uns avec les autres. Cette incorporation offre une promesse d'une meilleure qualité de vie, une meilleure efficacité. En contrepartie, leur déploiement introduit également des vulnérabilités à la fois dans l'infrastructure qu'ils soutiennent et sur lesquels ils comptent, ainsi que dans les processus qu'ils guident. Que ce soit au niveau applicatif ou des infrastructures, ces vulnérabilités sont exploitées par des acteurs malicieux pour générer des attaques de déni de service massives et sophistiquées. Nous tenterons également de tirer des leçons afin de tenter de minimiser ce type d'attaques dans le futur.

Christian Shink possède plus d’une dizaine d’années d’expérience en développement et sécurité d’applications. Avant de se joindre à Radware, Christian était à l’emploi d'une firme conseil où il a conseillé de nombreuses entreprises, dont de grandes banques américaines et Casinos. Il détient une certification CSSLP et est membre de l'ordre des ingénieurs du Québec.

HOW TO! Threat Modeling Toolkit


See the slides / Voir la présentation

WHEN May 23rd, 2017 WHERE Shopify Montreal

Threat Modeling is a great way to analyze security early in software development by structuring possible attacks, bad actors and countermeasures over a broad view of the targeted system. This talk will describe basic components of a threat model and how to use them effectively. Threat Intelligence is where you gather knowledge about the environment and business assets to determine what are the actual threats. But how do you reconcile that with the current architecture in a useful manner? The toolkit presented in this talk will enable you to systematically structure related information using graphical notations such as flow diagram and attack tree. In case you are wondering where to start in your organization, a quick lightweight risk rating methodology will also be proposed. And in the end, you’ll see how we can all tie those together and get threat modeling to a point where it’s an efficient application security activity for communication. Doing this will prevent security reviews from missing important things even when chaos prevails during the realization of a project. Modeling concepts will be demonstrated with an actual IoT device used as example. Presentation will be done in english.

Speaker Bio: Jonathan Marcil is the former chapter leader of OWASP Montreal and is now Senior Application Security Engineer at Blizzard Entertainment in beautiful Orange County, California. Jonathan has been involved with OWASP for many years and has been behind the Media Project which gathered and promoted AppSec conferences video content in the official OWASP YouTube channel. He was also part of NorthSec CTF event as a challenge designer specialized in Web and imaginative contraptions. He is passionate about Application Security and enjoys architecture analysis, code review, threat modeling and debunking security tools. He holds a diploma in Software Engineering from ÉTS Montreal and has more than 15 years of experience in Information Technology and Security.

Merci à nos précieux commanditaires !

Security Testing: Unlocking the Benefits of a Hybrid Approach


See the slides / Voir la présentation

WHEN April 24th, 2017 WHERE Espace Desjardins

As part of their defensive efforts, businesses commonly commission cybersecurity assessments of their web applications; with the aim of identifying any weaknesses in the security controls and ensuring a continually strong cybersecurity posture of their systems.

The classical approach of either secure code review (white box) or penetration testing (black box) assessment have proven to be effective in securing of web applications. The new trend, however, is moving towards the combination of these two approaches; expert consensus is rapidly recognizing the advantages of using a hybrid approach. When applied properly, a hybrid approach can build on the strengths of both white and black box testing, while compensating for their individual shortcomings.

In this presentation, we will examine the details of secure code review and penetration testing, and run demos to contrast their respective strengths and weaknesses. We will also examine why a hybrid approach can produce more complete and relevant assessment results. To conclude, we will cover proven approaches, and practical techniques, on how you can start leveraging a hybrid approach to web application assessments today.

Anne Gauthier is an application security analyst at GoSecure. Anne is also the president of the Montreal Chapter of OWASP – the industry standard for web application security. With a penetration testing background, she specializes in secure code reviews and in helping companies to improve their software development lifecycle (SDLC) according to industry best practices. Anne is CSSLP, GWAPT and GSSP-JAVA certified. She obtained a Software Engineering bachelor’s degree from Ecole de Technologie Supérieure in Montréal and is now pursuing a Master of Engineering (MEng) degree in Information Systems Security at Concordia University. She is the author of the Project 201 Security blog.

Merci à nos précieux commanditaires !

"HOW-TO" NIGHT ! Tout sur les CTFs (Capture The Flag)


See the slides / Voir la présentation (Laurent Desaulniers) See the slides / Voir la présentation (Charles Hamilton) See the slides / Voir la présentation (Olivier Bilodeau)

WHEN April 4th, 2017 WHERE Shopify

Cette nouvelle soirée "How-To" Night d'OWASP Montréal vise à présenter les CTFs (une compétition Capture The Flag) et aider les équipes à démarrer et à continuer à évoluer dans leurs pratique de la cyber sécurité pratique. L'objectif est d'outiller les participants en leur fournissant des ressources techniques et des contacts afin de les aider à progresser.

Les éléments discutés seront:

- Composition optimale d’une équipe : Fonctionnement d’une équipe de CTF et les principaux rôles (chef d’équipe, cryptographie, application web, rétro ingénierie et les causes perdues).

- Pourquoi faire des CTFs? Discussion sur les différents styles (jeopardy, attack/defense, etc.), quels sont les problèmes fréquemments rencontrés + plusieurs anecdotes intéressantes (et drôles).

- Trucs de Mr. Unikoder : Le créateur du fameux site ringzer0team, soit un des plus gros sites pour apprendre la résolution de problèmes de CTF (https://ringzer0team.com/) Apprenez des trucs du meilleur, sur comment débuter et interpréter un challenge web, binaire et crypto avec des trucs réels du métier.

Matériel requis :

Votre légendaire enthousiasme

Ce workshop est gratuit ! Un lunch et breuvage sont inclus.

Places limitées. Si le participant inscrit ne s'est pas présenté à 18h30, sa place sera remise à une autre personne présente.

Veuillez prendre note que votre nom et prénom seront fournis à Shopify pour l'événement.

Présentateurs :

Charles Hamilton, Senior Consultant chez Mandiant, FireEye, Inc.

Olivier Bilodeau, Cybersecurity Research Lead at GoSecure

Laurent Desaulniers, Senior Security Solution Specialist at Bell Canada

NorthSec - Applied Security Event


See the slides / Voir la présentation

WHEN April 4th, 2017 WHERE Espace Desjardins

NorthSec: La plus grande compétition et conférence en cyber sécurité au Canada

NorthSec est un organisme sans but lucratif qui organise une conférence et une compétition de sécurité de type "Capture-The-Flag" (CTF) et des formations. Avec plus de 400 participants présents sur le site pour la compétition, c’est la plus grande compétition du genre au monde.

La conférence, dans sa 3e année, attire des présentateurs internationaux avec du contenu technique exclusif. L’ajout des séances de travail (workshops) devrait plaire aux plus chevronnés des binaires.

Des formations de 3 jours sont offertes avant la conférence: "Advanced Web Application Security" par Philippe Arteau et "Malware and Memory Forensics" par Michael Ligh, co-auteur des livres "Malware Analyst Cookbook" et "The Art of Memory Forensics".

NorthSec est situé au Marché Bonsecours dans le Vieux-Port de Montréal au printemps du 15 au 21 mai 2017.

La présentation couvrira:

- Le plan pour 2017

- Ce qui différencie NorthSec

- Comment équilibrer une compétition pour les débutants et les experts

- Comment bâtir une infrastructure basée sur les conteneurs qui gère 50 équipes dans quelques serveurs sans qu’ils ne se partagent de machines virtuelles

- Comment faire du pain au levain à grande échelle

- Présentation de quelques défis et solutions

Les présentateurs:

- Gabriel Tremblay, Président, Delve Labs

- Olivier Bilodeau, VP Formations, Co-fondateur MontréHack, GoSecure

- Pierre-David Oriol, VP Conférences, Delve Labs

- Benoit Guérette, VP Partenaires, Desjardins

- Laurent Desaulniers, Tisserand de drapeaux, Bell Canada

Merci à nos précieux commanditaires !

Sécurité des applications : Les fondements


See the slides / Voir la présentation

WHEN March 20th, 2017 WHERE Espace Desjardins

OWASP Montréal est fier d’accueillir au Midi Conférence du mois de mars, Mme Tanya Janca, Co-Leader du chapitre OWASP Ottawa et spécialiste de la sécurité applicative au sein du Gouvernement fédéral.

La conférence « Les fondements de la sécurité des applications » sera présentée en anglais.

Session Description : Everyone has heard about the problem; everyone is “getting hacked”. But what is the answer? From scanning your code with a vulnerability scanner to red teaming exercises, developer education programs and bug bounties, this talk will take the audience through all the possibilities of an extensive application security program, with a detailed explanation of each part.

Bio : Tanya Janca is an application security evangelist, a web application penetration tester and vulnerability assessor, a secure code reviewer, an ethical hacker, the Co-Leader of the OWASP Ottawa chapter, and has been developing software since the late 90’s. She has worn many hats and done many things, including; Custom Apps, Ethical Hacking, COTS, Incident Response, Enterprise Architect, Project and People Management, and even Tech Support. She is currently helping the Government of Canada secure their web applications.

Merci à notre commanditaire principal de cet événement: Ubitrak!

WORKSHOP ! Server Side Template Injection (SSTI)


See the slides / Voir la présentation

WHEN 22 Février 2017 WHERE Shopify Montréal

OWASP Montreal vous invite à un atelier portant sur la sécurité des applications web supportant les moteurs de template (Template Engine). Le principe de séparation entre la présentation du site (code HTML statique) et de son contenu dynamique facilite la création de documents HTML et la capacité à modifier l'apparence du site sans mélanger le traitement et le rendu de la page. L'utilisation de moteurs de template amène de nouveaux enjeux de sécurité. Les vulnérabilités de type Server Side Template Injection (SSTI) sont exploitables à travers les données (non fiables) fournies par l'utilisateur et conduisent à l'exécution de code arbitraire (RCE) sur le serveur hébergeant l'application web.

Ce workshop a pour but d'introduire cette classe de vulnérabilité à travers différents cas d'implémentation (php, java, python). Nous verrons comment identifier et exploiter ces vulnérabilités et de quelle manière un attaquant peut s'y prendre pour exécuter du code arbitraire sur le serveur afin d'en prendre le contrôle.

Niveau : Intermédiaire

Matériel requis :
 * Votre portable
 * Votre distribution Linux/Unix de votre choix
 * Votre proxy Web de votre choix

Ce workshop est gratuit ! Un lunch et breuvage sont inclus. Places limitées. Si le participant inscrit ne s'est pas présenté à 18h30, sa place sera remise à une autre personne présente. Veuillez prendre note que votre nom et prénom seront fournis à Shopify pour l'événement.

Présentateur : Gérôme Dieu

Gérôme Dieu cumule plus de 7 années d’expérience en technologies de l’information et en sécurité. Il œuvre à titre de conseiller senior en sécurité de l’information au sein de la firme OKIOK. Ces dernières années, il a acquis une expertise dans le domaine de la sécurité des applications web aussi bien d'un point de vue offensif que défensif. En plus de réaliser des tests d’intrusion pour des clients internationaux, Gérôme s’implique dans la recherche et développement afin de maintenir à la fine pointe de la technologie les tests d'intrusion et d'analyse de vulnérabilités.

Merci à Shopify d'héberger l'événement !



Le courriel en 2017 – risques et menaces pour tous


Watch the conference / Regarder la conférence

Slides are not available / Présentation non disponible

WHEN Le 23 janvier 2017 à midi WHERE Espace Desjardins

Monsieur Poellhuber nous brossera un tableau du phénomène grandissant du rançongiciels et de l'hameçonnage, personnification.

- Par les années passées, la menace courriel se résumait principalement en un fort volume de contenu simplement indésirable. Aujourd’hui la menace a passablement évolué. Quels sont les véritables risques actuels associés au courriel ? Rançongiciels, hameçonnage, personnification. Cette conférence présentera les nouveaux défis de sécurité pour les organisations qui doivent composer avec des attaques de plus en plus sophistiquées et de plus en plus ciblées tout en protégeant leur réputation. Des exemples biens réels, drôles et moins drôles seront disséqués pour bien dessiner l’ampleur de l’enjeu.

M. David Poellhuber, Chef de l’exploitation, ZEROSPAM Sécurité Inc

Note biographique :

Monsieur David Poellhuber oeuvre dans l’industrie de la sécurité informatique depuis quinze ans. Il a été conférencier dans plusieurs forums de sécurité au Canada et est maintenant reconnu comme une autorité en matière de sécurité du courriel. Il a fondé ZEROSPAM Sécurité en 2003, le premier service Québécois externalisé de sécurité du courriel infonuagique qui se distingue par sa convivialité, son efficacité et ses technologies de détection proactives.

Audience : Généralistes et spécialistes de la sécurité des TI

Merci à Ubitrack pour le repas et à Desjardins d'héberger l'événement!



Effective XSS Mitigation


See the slides / Voir la présentation

WHEN 18 Janvier 2017 WHERE Google Montréal

FRANÇAIS/ENGLISH

La mitigation de XSS a été un sujet important au cours des dernières années. Les navigateurs ont implémenté, en autre, deux fonctionnalités pour mitiger leur impact : l'entête "XSS-Protection" et l'entête "Content-Security-Policy". Par contre, obtenir une mitigation contre les XSS efficace est souvent plus complexe que l'on pense. Cet atelier couvrira les deux entêtes. Il expliquera comme il est possible de contourner ces protections et ce qu'il est possible de faire pour se protéger. Des exercices de type "offensif" et "défensif" seront proposés. Mitigation for XSS as been an important topic in the last few years. Browsers have implemented two main functionalities to help mitigate the impact of XSS : the "XSS-Protection" header and the "Content-Security-Policy" header. But, getting an effective XSS mitigation of those headers is trickier than it may seem. This workshop will cover both of those headers. It will explain how bypass of those protection work and what you can do about it. It will have both "defensive" exercises and "offensive" exercises. Niveau : débutant/intermédiaire

Matériel requis :

Votre portable

Ce workshop est gratuit ! Un lunch et breuvage sont inclus.

Places limitées. Si le participant inscrit ne s'est pas présenté à 18h30, sa place sera remise à une autre personne présente.

Veuillez prendre note que votre nom et prénom seront fournis à Google pour l'événement.

Présentateur : Olivier Arteau

Olivier Arteau est un professionnel en sécurité informatique depuis quelques années et fait partie de l’équipe de test d’intrusion de Desjardins. Il est aussi un amateur de CTF qui a gagné à plusieurs reprises le CTF du NorthSec avec l’équipe HackToute et participe fréquemment à d’autres CTF avec l’équipe DCIETS.

Merci à Google d'héberger l'événement!



WORKSHOP ! Top 10 OWASP - Unleash the threats


WHEN 30 novembre 2016 de 17h30 à 20h30 WHERE Immunio @ WeWork

De nos jours, la sécurité applicative est essentielle dans l’écosystème des entreprises de toutes tailles. Les vecteurs d’attaques sont multiples, les vulnérabilités de sécurité dans les applications peuvent être désastreuses et les impacts d’un « Hack » peuvent être irréversibles pour l’entreprise; vols de données sensibles, perte de réputation, perte de $$$$$, etc. L’objectif du workshop est de comprendre la base sur les vulnérabilités de sécurité dans les applications et les techniques d’exploitation utilisées par les pirates informatiques, en plus de connaître les bonnes pratiques de développement en matière de sécurité applicative. Avec l'aide de WebGoat, Damn Vulnerable Web Application et de Kali Linux, vous pourrez participer à l'exploitation des applications et découvrir les techniques utilisées par les attaquants.

Niveau : débutant

Matériel requis : Votre portable Kali Linux La VM du workshop, envoyée aux participants

Ce workshop est gratuit ! Un lunch et breuvage sont inclus.

Places très limitées (nb = 10). Si le participant inscrit ne s'est pas présenté à 18h30, sa place sera remise à une autre personne présente.

Veuillez prendre note que votre nom et prénom seront fournis à Immunio & WeWork pour l'événement.

Présentateur : Christian Leclerc

Christian est spécialisé en conception et développement de solutions web sécuritaires. Tout au long de sa carrière, il a acquis une vaste expertise sur plusieurs types de technologies et méthodologies, intégré la sécurité dans le cycle de développement d’applications, effectué des revues de code sécurité, déployé des outils d’analyse des vulnérabilités et mis en place des systèmes d’authentification. De plus, il a participé à la conception et au développement de solutions sécuritaires de pointe comme la signature électronique à l’aide d’une infrastructure à clé publique (PKI), les authentifications fortes, le Registre des consentements au don d'organes et de tissus (RDOQ.org) et la migration de plusieurs applications web vers un environnement SOA (Service Oriented Architecture). Merci à Immunio & WeWork d'héberger l'événement!



Histoire d'un Hack


WHEN 21 novembre 2016 à midi WHERE Espace Desjardins

Pour son activité du mois de novembre, OWASP Montréal propose à la communauté de la sécurité des TI et aux gestionnaires de faire l'autopsie d'une attaque de haute voltige sur un site web et des outils mis à la disposition par OWASP. Bernard Bolduc cumule plus de 17 années d’expérience en technologies de l’information et en sécurité. Il œuvre à titre de conseiller senior en sécurité de l’information au niveau d’entreprise de classe nationale et internationale. Bernard se spécialise en sécurité Unix, applicative et en gestion de la sécurité des télécommunications. Il combine ces expertises techniques afin d’obtenir des résultats probants et efficaces pour ces clients des secteurs bancaire, télécommunication et multimédias, de l’énergie ou des services publiques. Tout au long de sa carrière, Bernard s’est toujours maintenu à jour sur les dernières menaces de sécurité technologique et commerciale en assistant à des formations spécialisées et d'échanger avec un grand nombre de partenaires dans l'industrie de la sécurité. La conférence débute à midi. La conférence vous donne droit à 1 CPE et pour les 50 premières personnes, un lunch gratuit. Merci à Desjardins d'héberger l'événement!



Workshop ! Création de votre première extension OWASP ZAP (ou BurpSuite)


WHEN 11 novembre 2016 de 18h à 21h

WHERE Google Montréal

OWASP Zed Attack Proxy (ZAP) est un scanneur de vulnérabilités et un outil de débogage HTTP. Ce type d'outil est crucial dans un test d'intrusion web et contient un lot intéressant de fonctionnalités. Cela dit, il est possible d'étendre les fonctionnalités. Plusieurs types d'extension sont possibles : vue alternative pour les requêtes ou les réponses, scanneur passif des réponses, scanneur actif produisant des requêtes, etc.

Plusieurs options seront données, par exemple :

Détection automatique de flag dans les sources Scanneur actif asynchrone DNS Ou votre propre idée

Pour chacune des suggestions, des squelettes de code seront fournis pour les APIs de ZAP. Pour les utilisateurs de BurpSuite, des directives analogues seront également données.

Niveau : débutant / intermédiaire

Matériel requis

Votre portable OWASP ZAP (gratuit) BurpSuite Éditeur de code pour Java, Python ou Ruby

'''Ce workshop est gratuit ! Un lunch et breuvage sont inclus.'''

Présentateur : Philippe Arteau

Philippe est un chercheur en cybersécurité chez GoSecure. Il est l'auteur de l'outil d'analyse statique Java "Find Security Bugs". Il a découvert des vulnérabilités importantes dans les logiciels populaires tels que Google Chrome, Dropbox, Paypal, RunKeeper et Jira. Il a présenté dans différentes conférences incluant Black Hat USA, Black Hat Europe, ATL Sec Con, NorthSec, Hackfest (QC) et JavaOne. Il a développé de nombreux plug-ins pour les outils de proxy BurpSuite et OWASP ZAP (Retire.js, Reissue Request Script, PDF preview et Image Metadata). Il a fait également des contributions à d'autres plug-ins comme J2eeScan.

Merci à Google d'héberger l'événement!



Logiciel de rançon (Ransomware) s'attaque au domaine de la santé


Unfortunately, the presentation is not available / Vidéo non disponible

See the slides / Voir la présentation

(Conférence en anglais) Pour le lancement de la saison 2016 - 2017, OWASP Montréal propose à la communauté de la sécurité des TI et aux gestionnaires de la santé une incursion dans le monde du logiciel malveillant ciblant le domaine de la santé.

Cette conférence s'intége dans le Coopérathon co-organisé par le Mouvement Desjardins et Hacking Health.

Le domaine de la santé serait devenu une cible privilégiée des campagnes de ransomware parce que l'industrie a souvent payé la rançon demandée pour récupérer les données confidentielles et vitales de ses clients. Monsieur Ed Gershfang nous brossera un portrait du phénomène et des meilleures pratiques à mettre en place en matière de sécurité applicative. Ed Gershfang possède une expérience solide dans l'infrastructure informatique et plus de 6 ans d'expérience dans les domaines de la sécurité de l'information, de la vulnérabilité, de la gouvernance et de la gestion des risques. Il était directeur de la sécurité pour la société PeriGen, un chef de file de développement de logiciels médicaux en Israël.

Merci à Desjardins d'héberger l'événement !



La sécurité applicative vue par un pentesteur


From Left to Right : Isabelle Lusseyran, Head of Development at Hacking Health. Eduard Gershfang Information Security Analyst at WSP | Parsons Brinckerhoff.

@Photo : Marius Popescu

Unfortunately, the presentation is not available / Vidéo non disponible

See the slides / Voir la présentation

Pour clore la saison 2015 – 2016, OWASP Montréal est fier d’accueillir au Midi Conférence un des architectes de renom du développement applicatif au Canada, monsieur Mario Contestabile. En tant qu’auteur de plusieurs centaines de tests d’intrusion, il connait tous les rouages de ce qu’est véritablement une application Web «sécurisée». Mais avez-vous déjà remarqué que les rapports de tests d’intrusion mentionnent rarement, voir jamais : «Votre site est très difficile à pirater. Félicitations !» ? Et qu’en est-il de ces rapports qui contiennent des dizaines de soi-disant vulnérabilités ? Est-ce que cela signifie d’emblée que l’application devrait être mise hors ligne ?

Lors de cette conférence, nous examinerons des rapports concrets (ambigus) de vulnérabilités et nous les analyserons afin de mieux comprendre si elles représentent une véritable menace, ou si elles ne servent qu’à «remplir» les rapports.

Avec son expertise en protection et en attaque d’applications Web, il abordera les points suivants : Comment pouvez-vous sélectionner des systèmes de façon à mieux exécuter des protections de sécurité ? Éviter certains pièges dans votre application Web qui rendent les attaques plus faciles et la protection plus difficile. De nos jours, que peuvent faire les développeurs à l’intérieur de systèmes communs, qui puisse me rendre la tâche plus ardue en tant que « hacker »? Pouvons-nous exiger de meilleurs rapports de la part des firmes de sécurité? À quoi devrions-nous nous attendre de la part d’un « pentesters »? Comment pouvons-nous savoir si le « pentester » a vérifié les failles de l’application et qu’il n’a pas simplement utilisé un scanneur? Et enfin, comment pouvons-nous aider les « ethical hackers » à obtenir un meilleur rendement lors d’un test d’intrusion? Il expliquera le sujet en détails, et ensemble, nous verrons de quelles façons les développeurs d’applications peuvent exploiter le savoir-faire des « pentesters », et comment nous pouvons faire en sorte qu’une application Web soit protégée. Biographie : Mario Contestabile est reconnu comme l’un des experts en sécurité les plus réputés au Canada. Son expertise, construire et protéger votre plateforme applicative. Ancien développeur C++ et Java, Mario partage ses nombreuses connaissances en « ethical hacking » et en développement de codes sécurisé.

WHEN Tuesday, 14 June 2016 from 12:00 PM to 1:00 PM (EDT) - Add to Calendar WHERE Espace Desjardins (Complexe Desjardins) - 175, boul René Lévesque Ouest, Montreal, Quebec

Merci à Desjardins d'héberger l'événement !



Comment protéger les applications mobiles?


@Photo : Marius Popescu

Unfortunately, the presentation is not available / Vidéo non disponible

See the slides / Voir la présentation

Dans le cadre des Midis Conférence à l'Espace Desjardins, l'équipe OWASP Montréal vous invite à assister à une présentation sur les vulnérabilités les plus communes associées aux appareils mobiles. Marie-Claire Willig détaillera entre autres comment stocker de façon sécuritaire les données de l’application mobile ainsi que protéger l’application contre des attaques externes. Des outils simples vous seront dévoilés pour détecter ces vulnérabilités. Marie-Claire est une professionnelle d'expérience en sécurité appliquée. Une grande partie de son intérêt professionnel réside actuellement dans un domaine assez niche, soit la revue de code sécuritaire, un fondement important de tout cycle de développement sécuritaire en entreprise. Au sein de l'équipe de sécurité technologique Desjardins, elle est, en autre, responsable de former les développeurs (Java et .NET principalement) afin de les sensibiliser aux meilleures pratiques de développement sécuritaire. Également, elle est une professionnelle des tests d'intrusion sur les applications web, les applications mobiles ainsi que l'infrastructure réseau. Bienvenue à tous

WHEN Wednesday, 20 April 2016 from 12:15 PM to 1:00 PM (EDT) - Add to Calendar WHERE Espace Desjardins (Complexe Desjardins) - 175, boul René Lévesque Ouest, Montreal, Quebec

Merci à Desjardins d'héberger l'événement !



NorthSec, Le plus gros événement de cybersécurité appliquée au Canada


@Photo : Marius Popescu

Watch the conference / Regarder la conférence

Slides are not available / Présentation non disponible

OWASP Montréal est fier d’inviter au Midi Conférence de mars, NorthSec est le plus gros événement de sécurité appliquée au Canada qui comprend deux jours de formation, deux jours de conférences ainsi qu’une compétition du genre « capture the flag » (CTF) de trois jours. Gabriel Tremblay, Benoit Guerette, Pierre-David Oriol et Laurent Desaulniers viendront vous parler de cet organisme sans but lucratif dynamique qui est géré par une équipe de bénévoles passionnés qui donnent à chaque année leur énergie et leur temps pour soutenir la communauté de la sécurité de l’information. Le volet compétition, l’épreuve maîtresse, est présentée sous forme d’un scénario qui rend cohérent une centaine de défis techniques. Les équipes de participants attaquent l’infrastructure de compétition pour soutirer des drapeaux (flags) à travers un ensemble de vulnérabilités présentes comme de l’injection SQL, des XSS ou encore l’exploitation d’exécutables sur systèmes embarqués. Quelques exemples de défis des années passées seront également présentés. Le volet conférence, qui est à sa 2ème année, met de l’avant plusieurs présentations techniques touchant la sécurité applicative mais aussi l’éthique et leurs impacts sociaux. Certaines présentations confirmées seront dévoilés. Le tout nouveau volet formation propose deux formations en sécurité applicative de calibre international (anglais) : “Advanced Web Security Testing with Burp Pro” et “Modern Object-Oriented Malware Reverse Engineering”. Venez aussi, découvrir comment l'équipe est partie d'une idée en 2012 pour se rendre à un évènement d'envergure, qui rassemblera plus de 600 professionnels, étudiants et autres passionnés de sécurité appliquée lors de la 4ème édition qui aura lieu du 17 au 22 mai 2016 au Marché Bonsecours. Finalement, la mission, la vision ainsi que les activités sociales de la semaine de NorthSec sont aussi au menu de cette présentation qui sera suivie d’une période de questions.

Gabriel Tremblay, Delve Labs, Président Benoit Guerette, Desjardins, VP Finances

Pierre-David Oriol, Delve Labs, VP Conférence Laurent Desaulniers, Bell Canada, Artisant de drapeaux

WHEN Wednesday, 23 March 2016 from 12:00 PM to 1:00 PM (EDT) - Add to Calendar WHERE Espace Desjardins (Complexe Desjardins) - 175, boul René Lévesque Ouest, Montreal, Quebec

Merci à Desjardins d'héberger l'événement !



La sécurité applicative et l'hameçonnage - February 24th


@Photo : Marius Popescu

Watch the conference / Regarder la conférence

Slides are not available / Présentation non disponible

De nos jours, une des méthodes les plus efficaces pour contourner les périmètres de sécurité externes est l'hameçonnage conjointement avec l’abus de certaines technologies Web.

Dans le cadre ses activités, OWASP Montréal est heureux d'inviter d'accueillir, l'équipe OKIOK qui présentera les impacts liés à ce type d'attaque, tel que vu et expérimenté en entreprise ainsi que les plans d'action pour traiter ces risques. La présentation abordera aussi bien la sécurité web et applicatives, des systèmes informatiques ainsi que de la sécurité physique de centres de données.

Capture d'informations sensibles par imitations de portails Web ; Authentification Web par 2-facteurs ; Injection SMTP dans des formulaires Web ; Attaque de type “Drive-by-download”; Prise de contrôle à distance à travers des flux HTTP; Attaque de CSRF à partir de courriels ; Attaque d'hameçonnage basée sur des achats par Internet (ex : PayPal).

When Wednesday, 24 February 2016 from 12:00 PM to 1:15 PM (EST) - Add to Calendar Where Espace Desjardins (Complexe Desjardins) - 175, boul René Lévesque Ouest Montreal, Quebec CA

Merci à Desjardins d'héberger l'événement !



Internet of {Things, Threats} - January 20th


@Photo : Marius Popescu

Unfortunately, the presentation is not available / Vidéo non disponible

See the slides / Voir la présentation

De plus en plus de périphériques se retrouvent connectés sur Internet. Sous la bannière "Internet of Things" (IoT) ces équipements, que ce soit une pompe à insuline ou un système de caméra de sécurité, tournent généralement sous un système GNU/Linux embarqué d'architecture MIPS ou ARM. La difficulté de mettre à jour ces équipements ainsi que le peu d'effort mis dans la sécurité des systèmes ou la sécurité applicative en font des cibles de choix. Ces derniers mois, nous avons analysé plusieurs logiciels malveillants ciblant ces architectures. Que ce soit par l'exploitation d'une vulnérabilité (Shellshock) ou encore un défaut de configuration, ces systèmes exposés sur Internet peuvent être compromis.

Notre présentation couvrira quelques une de ces analyses:


 * Linux/Moose, un malware se propageant automatiquement qui fraude les réseaux sociaux (par exemple Facebook, Twitter et YouTube)
 * LizardSquad et acteurs étrangers qui utilisent des systèmes embarqués compromis pour réaliser des dénis de service distribué (DDoS)
 * Win32/RBrute est un logiciel malveillant qui tente de changer les paramètres de routeurs dans le but de faire du "DNS poisoning". Il a été distribué par le populaire botnet Sality.
 * Un kit d'exploits qui utilise seulement le navigateur de leur victime avec le même objectif, c'est-à-dire faire du "DNS poisoning".

Enfin, des conseils seront proposés à l'audience pour l'aider à se protéger de ces menaces.

Thomas Dupuy (twitter: @nyx__o)

Thomas est chercheur en logiciel malveillant chez ESET Canada Recherche. Bon vivant, Thomas déjeune en "reversant" des binaires, contribue à quelques projets open source durant le diner (yara, yara rules, pefile, APTnotes) et la nuit participe à des "Hacking Games" (Capture The Flag). Curieux de nature Thomas analyse des malware aux architectures "exotiques".

Olivier Bilodeau (twitter: @obilodeau)

Olivier Bilodeau is the head of Cybersecurity Research at GoSecure a consultancy firm specializing in cybersecurity services for the public and private sector. With more than 10 years of infosec experience, Olivier worked on Unix servers at Bell Canada, managed a portion of Air Canada's network, wrote open source network access control software at Inverse and worked as a Malware Researcher at ESET. He likes to reverse engineer everything that crosses his path, participate in information security capture-the-flag competitions, hack open source code and brew beer. He has spoken at various conferences (Defcon, Botconf, VirusBulletin, Derbycon, ...), used to lecture on information security at ETS University in Montreal, drives the NorthSec Hacker Jeopardy and co-organizes the MontreHack capture-the-flag training initiative. His primary research interests include reverse-engineering tools, Linux and/or embedded malware and honeypots.

Merci à Desjardins d'héberger l'événement !



Survivre aux attaques DDOS applicatives


@Photo : Marius Popescu

Unfortunately, the presentation is not available / Vidéo non disponible

Slides are not available / Présentation non disponible

Survivre aux attaques DDOS (Distributed Denial-Of-Service) applicatives. Cette conférence s'adresse aux professionnels et gestionnaires des TI. Conférencier : Christian Shink, ing., CSSLP, ingénieur système chez Radware, manufacturier spécialisé dans la prévention des attaques DDOS. Il fut également consultant en sécurité applicative chez In Fidem. Objectifs de la conférence: Présenter les tendances actuelles en matière d'attaques DDOS applicatives. Renseigner les participants sur les techniques et stratégies pour contrer ces attaques illustrées à partir de cas vécus. Démystifier certains mythes en ce qui concernent les façons efficaces de protéger les applications contre des attaques DDOS. Date : 16 décembre 2015 Heure : 11h45 La conférence débute à 12h00 et se termine à 12:55. Un lunch sera servi. Réservez maintenant! 1 CPE

WHEN Wednesday, 16 December 2015 from 11:45 AM to 1:00 PM (EST) - Add to Calendar WHERE Espace Desjardins (Complexe Desjardins) - 175, boul René Lévesque Ouest, Montreal, Quebec

Merci à Desjardins d'héberger l'événement !



Sécurité des applications - Systèmes de contrôles industriels


@Photo : Marius Popescu

Watch the conference / Regarder la conférence

Slides are not available / Présentation non disponible

La sécurité des applications et les systèmes de contrôles industriels. Cette conférence s'adresse aux professionnels et gestionnaires des TI desinfrastructures critiques qui exploitent ou gèrent des systèmes de contrôles industriels(SCI) et SCADA (surveillance et d'acquisition de données).

Conférenciers : Robert Nastas, CSSA. Gestionnaire de projet et Youssef Jad, Architecte Cyber sécurité, ICS-CERT

Objectifs de la conférence:
 * Démystifier le domaine d'affaires.
 * Renseigner les participants sur les bonnes pratiques de sécurité desapplications liées au secteur industriel.
 * Proposer aux professionnels et gestionnaires des TI responsables dessystèmes SCADA et SCI des pistes de solutions aux enjeux de sécurité.

L'équipe OWASP Montréal vous remercie d'avoir assisté en grand nombre à la conférence, 'La sécurité des applications et les systèmes de contrôles industriels'.

WHEN Wednesday, 18 November 2015 from 11:45 AM to 1:00 PM (EST) - Add to Calendar WHERE Espace Desjardins (Complexe Desjardins) - 175, boul René Lévesque Ouest, Montreal, Quebec

Merci à Desjardins d'héberger l'événement !



Les préoccupations actuelles de hauts dirigeants en matière de cybersécurité et de sécurité applicative


@Photo : Marius Popescu

Unfortunately, the presentation is not available / Vidéo non disponible

See the slides / Voir la présentation

Pour le lancement des activités corporatives de la saison 2015 - 2016, le 8 septembre prochain à 12:00, l'équipe OWASP Montréal convie les gestionnaires et artisants de la sécurité des TIC à venir entendre monsieur Éric Hébert qui nous présentera son interprétation des préoccupations actuelles de hauts dirigeants en matière de cybersécurité et de sécurité applicative. L'événement se tiendra au complexe Desjardins à la salle "Espace Desjardins".

 ÉRIC G. HÉBERT, CISM, CISSP 

Après plus de 20 ans passés dans le domaine de la sécurité des technologies de l’information, Éric se spécialise dans la mise en œuvre et la gestion d'équipes performantes, capables de relever les plus hauts défis de la cybersécurité moderne.

Capable de dialoguer avec les hauts dirigeants, il sait traduire et vulgariser les enjeux techniques complexes tout en respectant la nature et l'appétence au risque de ses clients. Dynamique et pourvu d'une expérience couvrant presque toutes les sphères de la SI, il fonce dans le respect de la culture établie tout en implantant des solutions pragmatiques et efficaces.

Depuis plus de 10 ans, il gravite principalement autour des entreprises du domaine financier (BNC, Desjardins, Fonds de solidarité FTQ...) et les accompagne dans la mise en place de solutions efficaces tenant compte à la fois des risques et des budgets. En plus d’avoir fondé de nombreuses associations telles que le RéseauSécurIT et le RPSI, il maintient une présence régulière auprès des milieux associatifs professionnels et partage régulièrement ses expériences lors de conférences et d'entrevues avec divers médias.

Merci à Desjardins d'héberger l'événement !



= Events / Évènements =

Owasp Montreal at NorthSec 2017


From Left to Right: Anne Gauthier, OWASP Montréal Chapter Leader (President) and Application Security Analyst at GoSecure, Hugo Genesse, OWASP Montréal Chapter Leader and Research Intern at PNF Software, Julien, OWASP Montréal Chapter Leader

OWASP Montreal at AppSec


OWASP Montreal and Ottawa Chapter Leaders at OWASP AppSec Belfast, UK #WomenInAppSec

OWASP Montreal at HackFest 2016


From left to right: Anne Gauthier, OWASP Montréal Chapter (President) and Information Security Analyst at GoSecure, Louis Nadeau, OWASP Québec Chapter Leader and Manager, Product Security at Bentley Systems and Patrick Leclerc, OWASP Québec Chapter Leader and Information Security Advisor at La Capitale.

OWASP Montreal at OWASP AppSec USA 2016, Washington


​From left to right: Anne Gauthier, OWASP Montréal Chapter (President) and Information Security Analyst at GoSecure, Marie-Claire Willig, Application Security Analyst at Desjardins, Speaker and Cofounder of the Roslyn Security Guard tool which will be presented at Blackhat 2016, Alexandre Hamelin President at Synlabs Consulting Inc., Jonathan Marcil, Application Security Engineer at Blizzard Entertainment and former OWASP Montreal Chapter Leader. Philippe Arteau, Cybersecurity Researcher at GoSecure and designer of Find Security Bugs and Roslyn Security Guard tool which will be presented at Blackhat 2016.

OWASP Montréal at GoSec 2016


From left to right : Anne Gauthier, OWASP Montréal Chapter (President) and Information Security Analyst at GoSecure, Simon Lacasse, student and volunteer, and Laurent Desaulniers, Security Analyst at Bell Canada.

OWASP Montréal at NorthSec 2016 – Annual Applied Security Event


@Photo : Simon Veilleux

From left to right : Anne Gauthier, OWASP Montréal Chapter (President) and Information Security Analyst at GoSecure, Olivier Arteau OWASP Montréal Chapter Leader and Conseiller chez Groupe Technologie Desjardins, Hugo Genesse, OWASP Montréal Chapter Leader and Vulnerability Research Intern at Wurldtech Security Technologies.

OWASP Montréal at Hackfest 2015


@Photo : Hackfest

From left to right : Jonathan Marcil, Application Security Engineer at Blizzard Entertainment and former OWASP Montreal Chapter Leader. Philippe Arteau, Cybersecurity Researcher at GoSecure and designer of Find Security Bugs and Roslyn Security Guard tool which will be presented at Blackhat 2016.

Watch the video / Regarder la vidéo

OWASP Montréal at GoSec 2015 – The Annual Cybersecurity Conference presented by GoSecure, EY and ISACA.


@Photo : Marius Popescu

From left to right : Marie-Claire Willig, Application Security Analyst at Desjardins, Speaker and Cofounder of the Roslyn Security Guard tool which will be presented at Blackhat 2016. Benoît Guérette, Application Security Team Leader at Desjardins, VP Finance at NorthSec and OWASP Montreal Chapter Founder and Former Chapter Leader.

See also / Voir aussi
OWASP Montréal recommends Montréhack. Learn and share knowledge on IT security by solving technical challenges. Third Monday of every month.

OWASP Montréal recommende Montréhack. Apprends et partages des connaissances sur la sécurité informatique en travaillant des problèmes appliqués. Chaque troisième lundi du mois.



= Archives 2007-2015 =

OWASP Montreal - February 3rd - Getting to Know the Software Assurance Marketplace (SWAMP)
Watch the conference / Regarder la conférence

See the slides / Voir la présentation


 * MAIN PRESENTER: Pat Beyer
 * ADDITIONAL PRESENTER: Abe Megahed
 * ABSTRACT: The Software Assurance Marketplace (SWAMP) is an open facility that is designed, built, and operated by four research institutions. The SWAMP provides no-cost access to an array of open-source and commercial software analysis tools. This presentation will provide an overview and demo of the SWAMP, including our goals, intended audience, current capabilities, and future plans. We will cover our relationship with OWASP, incorporation of open-source software assurance tools, and status as an open-source project and resource available to the software community. Visit https://continuousassurance.org/ to learn more about us.
 * BIO: Pat Beyer serves as the Product Manager for the Software Assurance Marketplace (SWAMP). With over 25 years of experience successfully managing multi-million dollar global projects, Beyer’s expertise extends to the IT, construction, and operations sectors, with a specialization in managing government contracts and grants. A gifted communicator, Beyer is a sought after speaker due to his ability to deliver complex information about technology products and services in a way that is easily understood. He is a decorated combat veteran of the Global War on Terror, the international military campaign that started following the 9/11 terrorist attacks on the United States. In 2004, he constructed and rehabilitated over 20 schools, clinics, and water treatment plants for the Iraqi people using local contractors. Beyer also holds a Bachelor of Science, a Masters in Business Administration, a Ph.D. in Organization and Management, and a Project Management Professional (PMP) certification.
 * BIO: Abe Megahed is a web developer for the Software Assurance Marketplace. In previous lifetimes, he has been a computer graphics researcher, a game programmer, a programming language and compiler nerd, a dot com company founder, a creator of helicopter simulations, and a developer of 3D simulations for NASA astronaut crew training.
 * WHEN: Tuesday, February 3rd 2015
 * WHERE: Room PK-1140 - UQAM Pavillon Président-Kennedy, 201 Avenue du Président-Kennedy J2X 3Y7
 * REGISTRATION: https://owaspmtlswamp2015.eventbrite.ca
 * WEBCAST: https://www.youtube.com/watch?v=p4_vjufcB6Q
 * SLIDES: https://speakerdeck.com/owaspmontreal/getting-to-know-the-software-assurance-marketplace-swamp-by-pat-beyer


 * ACADEMIC PARTNER: AGEEI-UQAM - http://www.ageei.org/
 * PROGRAM:

18:00-18:25 Networking 18:25-18:30 Welcome speech by Chapter Leader (Jonathan Marcil) 18:30-20:00 Main session: Getting to Know the Software Assurance Marketplace 20:00-...  End of the meeting



OWASP Montréal - 4 décembre - Malware côté serveur — évolution, méthodes d’opération et forensic Linux
Watch the conference / Regarder la conférence

See the slides / Voir la présentation


 * PRÉSENTATEUR PRINCIPAL: Marc-Etienne M.Léveillé
 * RÉSUMÉ: Les logiciels malveillants ciblant les serveurs ont évolué. Ils sont utilisés par des groupes de cybercriminels organisés dans le but de faire du profit via des redirections web et l’envoie de pourriels. La présentation portera sur Opération Windigo, une opération malveillante qui a affecté plus de 25 000 serveurs dans le monde. Après une brève description des composantes de Windigo, nous verrons comment les opérateurs déploient leurs logiciels malveillants et surveille leur réseau de serveurs infectés. Des trucs pratiques pour faire de la forensics sur des systèmes Linux seront donnés. Cette présentation est une suite à la présentation "Linux/Cdorked: Server side malware", donnée par Olivier Bilodeau à OWASP Montréal en 2013. La présentation sera en français avec des diapositives en anglais (aka Montreal-style).
 * BIO: Marc-Etienne est un chercheur en logiciel malveillant chez ESET depuis 2012. Il se spécialise dans les logiciels malveillants qui s’attaquent à des plateformes inhabituelles comme aux produits fruités et aux oiseaux nordiques. Dernièrement, il passe beaucoup de son temps à faire la rétro-ingénierie de logiciels malveillants sur des serveurs Linux et s’intéresse à leurs méthodes d’opération. Il adore participer de façon collégiale aux CTFs avec ses amis les CISSP Groupies et jouer de la clarinette. Il tweet très peu à @marc_etienne_.
 * QUAND: 4 décembre 2014 à 18h00
 * OÙ: Local M-1510, Polytechnique Montréal, 2900 Boulevard Edouard-Montpetit
 * INSCRIPTION: https://www.eventbrite.ca/e/owasp-montreal-4-decembre-malware-cote-serveur-evolution-methodes-doperation-et-forensic-linux-tickets-14635313617
 * ÉQUIPE ACADÉMIQUE: Polyhack - http://polyhack.org/
 * PROGRAMME:

18:00-18:30 Réseautage 18:30-18:35 Mot de bienvenue par le leader du chapitre (Jonathan M.) 18:35-19:30 Présentation principale : Malware côté serveur 19:30-20:00 Période de questions



OWASP Montréal - October 23rd - XXE : À l’assaut des analyseurs XML
Watch the conference / Regarder la conférence

See the slides / Voir la présentation


 * PRÉSENTATEUR PRINCIPAL: Philippe Arteau
 * RÉSUMÉ: L'utilisation d’XML est fortement répandue. Le format est utilisé pour des fichiers de configuration, pour des métadonnées, pour des documents textes, et bien plus. La prise en charge de fichiers XML n’est pas sans risque. La plupart des analyseurs XML ne sont pas sécuritaires par défaut pour le traitement de fichier externe. Cette présentation fera un survol des vulnérabilités de type « Xml eXternal Entity » et de l’étendue des risques pour différents langages de programmation. Plusieurs démonstrations sont prévues.
 * BIO: Philippe est conseiller en sécurité applicative pour le Groupe Technologies Desjardins. Au quotidien, il s’occupe d’effectuer des tests d’intrusions et des revues de code. Il a découvert des vulnérabilités importantes dans plusieurs logiciels populaires incluant Google Chrome, DropBox, ESAPI et Jira.
 * QUAND: 23 Octobre 2014 à 18h00
 * OÙ: École de Technologie Supérieure Local A-3230, 1100 Rue Notre-Dame Ouest, Montréal, QC H3C 1K3
 * INSCRIPTION: http://www.eventbrite.ca/e/owasp-montreal-23-octobre-xxe-a-lassaut-des-analyseurs-xml-tickets-13426881163
 * PARTENAIRE ACADÉMIQUE: ETS - DCI http://dciets.com/
 * PROGRAMME:

18:00-18:30 Réseautage 18:30-18:45 Mot de bienvenue 18:45-19:45 Présentation principale - "À l’assaut des analyseurs XML" Philippe Arteau 19:45-20:00 Période de questions



OWASP Montreal - July 24th - Web security for DevOps: the glory is in the headers
Watch the conference / Regarder la conférence

See the slides / Voir la présentation


 * MAIN PRESENTER: Jonathan Marcil
 * ABSTRACT: DevOps is a buzzword which can be easily demystified: in essence it is a process which aims to combine the development and system administration process into one; Operations. As developers become responsible for server setup, security counter measures are evolving as well. The line between server configuration and application behaviour has been blurred. In this talk we will cover some HTTP headers in regards to security such as CORS, CSP and HSTS. We will demonstrate several forms of attack, and how they can (should) be countered.
 * BIO: Jonathan is devoted to security and specialized in Web application security. His main occupation is consulting in Web security, but deep down he is a developer with a agnostic vision of programming languages. He has a diploma in Software Engineering from Ecole de Technologie Superieure and more than 10 years of experience in Information Technology and Security.
 * WHEN: At noon on July 24th 2014
 * WHERE: 75 Queen Street, office 3100, Montreal, QC H3C 2N6
 * REGISTRATION: You can join us on site for a pizza slice but this is mainly an online event. Contact jonathan.marcil@owasp.org.
 * WEBCAST: https://www.youtube.com/watch?v=6bp1NCLT-YQ
 * SLIDES: https://speakerdeck.com/owaspmontreal/web-security-for-devops-the-glory-is-in-the-headers-by-jonathan-marcil
 * EVENT SPONSOR: Pheromone http://www.pheromone.ca/
 * PROGRAM:

12:00-12:10 Welcome and quick OWASP introduction 12:10-13:10 Main presentation - "Web security for DevOps: the glory is in the headers" Jonathan Marcil 13:10-... Open discussion and questions



OWASP Montreal - June 18th - Gaps in the Clouds
Unfortunately, the presentation is not available / Vidéo non disponible

See the slides / Voir la présentation


 * MAIN PRESENTER: Robert Fritz
 * ABSTRACT: Cloud technology offers agility and scaling, and a chance to break away from legacy IT choices. Unfortunately, skipping traditional IT activities often results in poorly patched systems, out of date firewalls, and overprovisioned entitlements wielded by admins whose “day job” is development.  Boundaries of accountability and responsibility amongst cloud providers and consumers are confusing, vague, and shift, making security difficult to manage.  In such an environment, a “BP-spill” event, where cost wins over safely safety, is likely.  This talk will dive down into the cracks between the layers of cloud, and share some of the exciting dirt we have seen and expect to see in coming years.”
 * BIO: Robert Fritz has been practicing security his entire career. Rob started as an Air Force lieutenant at Langley AFB and later at the Pentagon in Washington DC, building and managing classified networks. Finding he was getting too far from technology after a brief stint flying, he left the military to get back to the tech, and built security tools for HP in their HP-Unix lab. Over time he found himself in more and more security design discussions, so co-authored HP’s Commercial Application Threat Analysis Methodology, building an internal consulting practice at HP.  This quantitative approach, led to two pending patents, an external-facing consulting practice, and his contributions to NIST IR-7502, the Common Configuration Scoring System (CVSS follow-on).  He is the former lead editor for the Center for Internet Security’s HP-UX Benchmark, and current lead for the Android Benchmark.  Robert now works for Morgan Stanley as global head of the Strategic Consulting team in the Security Architecture group, and leads the team’s cloud and social-media security practices.
 * WHEN: June 18th 2014
 * WHERE: 700 Rue Wellington, Floor 2, Montreal, QC H3C 3S4
 * REGISTRATION: http://owaspmtl18junems.eventbrite.ca
 * SLIDES: https://speakerdeck.com/owaspmontreal/gaps-in-the-clouds-by-robert-fritz
 * EVENT SPONSOR: Morgan Stanley http://www.morganstanley.com/
 * PROGRAM:

18:00-18:30 Networking and Morgan Stanley Hosted Pizza and Soft Drinks 18:30-18:45 OWASP Chapter & Morgan Stanley Welcome 18:45-19:45 Main presentation - "Gaps in the Clouds" Robert Fritz 19:45-20:00 Open discussion and questions 20:00-...  Optional, informal networking at Aziatic - 626 rue Marguerite-d'Youville, Montréal, QC H3C 1W7



OWASP Montréal - May 26th - Récapitulatif des challenges NorthSec
Watch the conference / Regarder la conférence

Slides are not available / Présentation non disponible


 * PRÉSENTATEUR PRINCIPAL: Laurent Desaulniers
 * RÉSUMÉ: Solutions de la compétition en sécurité NorthSec 2014 sur les sujets de XXE + SSRF, WAF Bypass, Xpath Injection, DOM Injection, HTTP Only Flag bypass et contournement de captchas. Une bonne façon d'apprendre sur ces failles que vous étiez ou non un participant de la compétition.
 * MESSAGE DU PRÉSENTATEUR: Vous voyez Rao dans votre soupe? Vous voulez une solution pour un XSS avec des cookies http only? Les captchas illisibles sont un problème? Assistez à la présentation de l'OWASP!
 * BIO: Laurent Desaulniers est un passionné de sécurité informatique. Il a présenté au Hackfest, au colloque RSI, à OWASP et est challenge designer à NorthSec. M. Desaulniers détient les certifications CISSP, CISM, CISA et OSCP.
 * QUAND: 26 mai à 18h00
 * OÙ: Local PK-1140 - Pavillon Président-Kennedy 201, Avenue du Président-Kennedy, J2X 3Y7
 * INSCRIPTION: https://www.eventbrite.ca/e/owasp-montreal-26-mai-recapitulatif-des-challenges-northsec-tickets-11724413035
 * WEBCAST: https://www.youtube.com/watch?v=P8_V3RI1Ru4
 * ÉQUIPE ACADÉMIQUE AGEEI-UQAM - http://www.ageei.org/
 * PROGRAMME:

18:00-18:30 Réseautage 18:30-18:35 Mot de bienvenue par le leader du chapitre (Jonathan M.) 18:35-19:30 Présentation principale : Récapitulatif des challenges NorthSec 19:30-20:00 Période de questions



Networking with infosec communities - April 21st
Slides are not available / Présentation non disponible


 * RÉSUMÉ: En collaboration avec Montréhack, mtlsec et NorthSec, nous organisons une soirée réseautage dans un pub du centre-ville. Du plaisir garanti avec les membres de plusieurs communautés infosec de Montréal!


 * ABSTRACT: In collaboration with Montréhack, mtlsec and NorthSec, we are organizing a networking evening in a pub downtown. Fun guaranteed with the other security communities in Montreal!


 * QUAND: 21 Avril 2014
 * WHEN: April 21st 2014


 * OÙ/WHERE: BENELUX - Brasserie Artisanale 245 Sherbrooke St W Montreal, QC H2X 1X7


 * INSCRIPTION/REGISTRATION: https://www.eventbrite.ca/e/montrehack-avril-april-northsec-pre-party-tickets-11232307133

18:00-21:00 Networking 21:00-23:59 Remember to drink responsibly!
 * PARTENAIRES/PARTNERS: Montréhack http://montrehack.ca/ - mtlsec http://blog.mtlsec.com/ - NorthSec https://www.nsec.io/
 * PROGRAMME:

OWASP Montréal - March 27th - Panel Compétition en sécurité NorthSec
Unfortunately, the presentation is not available / Vidéo non disponible

Slides are not available / Présentation non disponible

Présentation sous forme de panel - venez poser vos questions!

18:00-18:25 Networking 18:25-18:30 Mot de bienvenue par le leader du chapitre (Jonathan Marcil) 18:30-20:00 Présentation principale : Panel NorthSsec
 * RÉSUMÉ: Les compétitions de type Capture the Flag (CTF) sont un moyen pour les professionnels et amateurs de sécurité informatique de mettre leurs talents à l'épreuve. NorthSec est une compétition Montréalaise annuelle en sécurité appliquée, qui aura lieu cette année au Marché Bonsecours de Montréal le 25, 26 et 27 avril prochain. Elle vise à augmenter le niveau technique des professionnels de la sécurité au Québec, ainsi que de permettre à ses acteurs les plus talentueux de se démarquer.
 * DÉTAILS: Le panel de jeudi, sous la forme d'un échange convivial entre les organisateurs de l'évènement et de ses participants, abordera des thèmes variés comme l'écriture de bon défis, l'infrastructure, la logistique, les inattendus, un bilan de 2013 et tout ça en passant par de savoureuses annecdotes (on l'espère). Venez en grand nombre toucher à ces légendes de la scène infosec montréalaise!
 * PANÉLISTES: Gabriel Tremblay, François Proulx, Laurent Desaulniers, Stéphane Graber
 * ANIMATEUR: Olivier Bilodeau
 * QUAND: 27 mars 2014
 * OÙ: Salle M-1510, École Polytechnique de Montréal, 2500 chemin de Polytechnique, Montréal (Québec) H3T 1J4, pavillon Lassonde
 * INSCRIPTION: https://www.eventbrite.ca/e/owasp-montreal-27-mars-panel-competition-en-securite-northsec-tickets-10918436337
 * ÉQUIPE ACADÉMIQUE: Polytechnique - Polyhack http://polyhack.org/
 * PROGRAMME:



OWASP Montreal - February 25th - Proven Strategies for Web Application Security
Unfortunately, the presentation is not available / Vidéo non disponible

See the slides / Voir la présentation


 * MAIN PRESENTER: Justin C. Klein Keane
 * ABSTRACT: The rising dominance of the web as an application delivery platform has focused attacker attention squarely on the security of dynamic web applications. Application security is a complex, and shifting, field. Learn about tested and successful techniques to build safer applications, find flaws before they become vulnerabilities, and deploy applications that can detect, and resist attack.
 * BIO: Justin C. Klein Keane is a security engineer and chapter leaders of OWASP in Philadelphia. For over a decade Justin has worked as a trainer, coder, and exploit developer. Justin is currently writing a book for NoStarch Press on hacking, speaks regularly at conferences, holds a masters degree in information technology from the University of Pennsylvania and is credited with hundreds of application vulnerability discoveries.
 * WHEN: February 25th 2014
 * WHERE: Ecole de technologie superieure, 1100 Notre-Dame Street West, Montreal, Room: A-1150
 * REGISTRATION: http://owaspmtljan2014.eventbrite.ca
 * SLIDES: https://speakerdeck.com/owaspmontreal/proven-strategies-for-web-application-security-by-justin-c-klein-keane
 * ACADEMIC PARTNER: ETS - DCI http://dciets.com/
 * PROGRAM:

18:00-18:25 Networking 18:25-18:30 Welcome speech by Chapter Leader (Jonathan Marcil) 18:30-20:00 Main session and open discussion: Proven Strategies for Web Application Security 20:00-...  End of the meeting in a pub



OWASP Montreal - January 28th - Latest trends in Mobile Security
Watch the conference / Regarder la conférence

See the slides / Voir la présentation


 * MAIN PRESENTER: Francois Proulx
 * ABSTRACT: Last AppSecUSA 2013 had a great line up of talks, especially regarding mobile applications. This session will be covering all the hottest presentations about mobile security by doing an overview from what see saw at AppSecUSA, all with some slides and snippets of presentations that was recorded at the event. Discussion will be encouraged within the audience as this will be more a dynamic event than a regular talk.
 * BIO: François Proulx is a senior mobile application developer who has worked on dozens of iOS applications since the very beginning of the Apple iOS platform. Over the past few years he has switched his focus to security. He spends a lot of his free time participating in Capture the Flag events (CTFs) and organizing the NorthSec security competition.
 * WHEN: January 28th 2014
 * WHERE: UQAM Room PK-1705, Pavillon Président-Kennedy (the big boat at Place des Arts) - 201 Avenue du Président-Kennedy J2X 3Y7
 * REGISTRATION: http://owaspmtl-mobilesecurity.eventbrite.ca
 * SLIDES/CONTENT: YouTube playlist
 * SPONSOR: Academic partner AGEEI-UQAM - http://www.ageei.org/
 * PROGRAM:

18:00-18:25 Networking 18:25-18:30 Welcome speech by Chapter Leader (Jonathan M.) 18:30-20:00 Main session and open discussion: Mobile Security 20:00-...  End of the meeting in a pub



Presentations For Download
OWASP ASVS by Sebastien Gioria (09/03/2010)

Authentification Forte by Philippe Gamache (02/02/2010)

Software Assurance Maturity Model (OpenSAMM) by Pravir Chandra (03/11/2009)

Crossing the Border – Javascript Exploits by Justin Foster (17/09/2009)

A Laugh RIAt by Rafal Los (07/04/2009)

Microsoft Security Development Lifecycle for IT by Rob Labbe (24/02/2009)

OWASP Goal and Top Ten 2007 for Managers - French version by Benoit Guerette (24/02/2009)

Newer presentations are available on Speaker Deck



= OWASP Foundation / Mission OWASP   = OWASP Foundation (Overview Slides) is a professional association of global members and is open to anyone interested in learning more about software security. Local chapters are run independently and guided by the Chapter_Leader_Handbook. As a 501(c)(3) non-profit professional association your support and sponsorship of any meeting venue and/or refreshments is tax-deductible. Financial contributions should only be made online using the authorized online chapter donation button. To be a SPEAKER at ANY OWASP Chapter in the world simply review the speaker agreement and then contact the local chapter leader with details of what OWASP PROJECT, independent research or related software security topic you would like to present on.

La fondation OWASP est une association de professionnels et elle est ouverte à tout intervenant intéressé à en apprendre davantage sur la sécurité applicative. Les chapitres locaux (dont celui de Montréal) sont gérés de façon indépendante et selon un manuel de directives à respecter. Toute contribution financière au chapitre peut être faite en ligne en utilisant l’icône prévu à cet effet. Pour être conférencier au sein de n’importe quel chapitre à l’échelle mondiale, vous n’avez qu’à prendre connaissance du document "entente avec les conférenciers – speaker agreement" et à joindre le responsable du chapitre Montréal avec un descriptif du sujet que vous aimeriez aborder et s’il est relié à un projet OWASP, à de la recherche indépendante ou encore le sujet en particulier, concernant la sécurité applicative, que vous souhaitez aborder.

[[Image:Circle_owasp_logo_nowhitebackground.png|128px]] Montreal OWASP Team
Scope of the team is to discuss and plan local activities and meetings

Chapter Leaders

 * [mailto:anne.gauthier@owasp.org Anne Gauthier], President/Présidente
 * [mailto:michel.bourque{at}owasp.org Michel Bourque], Chapter coordinator and marketing manager/Coordination et Marketing
 * [mailto:hugo.genesse(at)owasp.org Hugo Genesse], Web content and production manager/Site internet et Production
 * [mailto:olivier.arteau(at)owasp.org Olivier Arteau], Logistic manager/Logistique

Chapter leader history

 * 2008-2010 - Benoit Guerette, founder and chapter leader
 * 2011-2012 - Philippe Gamache, chapter leader (vice chapter-leader since 2010)
 * 2013-2015 - Jonathan Marcil, chapter leader
 * 2016-... - Anne Gauthier, Michel Bourque, Marius Popescu, Hugo Genesse, Olivier Arteau

Old board members

 * Philippe Pépos Petitclerc
 * Michael Robillard
 * Benoit Guerette (logistics 2015)
 * Alexandre Rimthong
 * Mathieu Binette
 * Sean Coates
 * Jean-Marc Robert
 * Philippe Blondin
 * Benoit Guerette (founder)
 * Laurent Desaulniers