Expert pki : Premiers experts dispos et dernières missions mises en ligne

Exemple de missions de Mohamed,
Expert pki habitant ?

• Consultant Sécurité Senior

  Wavatecchez le client d&#x2019AMD-Consulting (La Française Des Jeux)
  Jan 2009 - aujourd'hui

  Fondateur d&#x2019une start-up spécialisée dans le domaine de la sécurité web et du développement d&#x2019applications SaaS. Nous éditons deux applications web mariant technologies web, voix sur IP et applications SaaS, le tout hautement disponible sur une architecture basée sur la solution Amazon EC2.
  * Je préfère ne pas détailler cette partie sur un CV comme ce projet se trouve à une phase embryonnaire et que l&#x2019effort marketing nécessaire pour le lancer n&#x2019a pas été effectué. L&#x2019application étant unique à l&#x2019heure de la rédaction de ce CV.
  Je maintiens mon rôle de consultant sécurité chez le client d&#x2019AMD-Consulting (La Française Des Jeux)

• Chef de Projet

  LA FRANCAISE DES JEUX
  Jan 2007 - Jan 2008

  Audit de Jeux en ligne, Intégrateur PKI.
  Projet de sécurisation des nouveaux jeux en ligne en appliquant les principales recommandations d&#x2019OWASP.
  
  &#x2022 Rédaction des cahiers de recette sécurité et suivi des actions avec les différentes
  Équipes de développement.
  
  &#x2022 Patch des outils précédemment développés afin de prendre en compte les
  Nouveaux vecteurs d&#x2019attaques possibles. Détection de failles en Black Box et en White Box
  &#x2022 Revue de Code applicatif
  
  Projet de déploiement d&#x2019une PKI de 125000 certificats destinée aux terminaux de jeu en ligne.
  &#x2022 Qualification de 4 solutions dont une outsourcée
  &#x2022 Mise en place des maquettes techniques
  &#x2022 Gestion de projet et planification des tâches
  &#x2022 Coordination des tests de charge avec les équipes techniques.
  &#x2022 Débuggage des problèmes techniques d&#x2019interopérabilité rencontrés entre les clients IPSec et la PKI
  &#x2022 Optimisation
  - Conception de la PKI avec une CRL de 40 000 entrées pour des certificats d&#x20191 an, 3 ans et 5 ans.
  - Dégroupage de la PKI par zone afin d&#x2019alléger le nombre de certificats gérés par une autorité donnée (Métropole, agglomérations, dom-tom).
  
  &#x2022 Etude des différentes approches permettant de certifier les terminaux de Jeu via
  le protocole SCEP, en prenant en compte les particularité techniques de l&#x2019infrastructure de La Française Des Jeux

• Chef de Projet - Expert Crypto, Intégrateur PKI

  FUJITSU SIMENS &#x2013 Cybertrust « Luxembourg »
  Jan 2006 - Jan 2007

  Objectif de la mission:
  &#x2022 Développement d&#x2019une application de détection d&#x2019abus de l&#x2019ensemble des serveurs de la solution
  &#x2022 Développement de la couche cryptographique d&#x2019une application J2EE chez un client d&#x2019Ubizen (identité client tenue confidentielle)
  
  Dans le cadre d'un forfait de 45 jours, encadrement d&#x2019une équipe de développement
  &#61607 Intégration des mécanismes de sécurisations applicatifs basés sur les API Cryptographiques d&#x2019IAIK
  &#61607 Développement d&#x2019une application de détection d&#x2019abus sur les différentes plateformes en analysant les évènements chiffrés relevés par les différents modules.
  Cette mission a aboutie à deux livrables.
  
  &#x2022 Un package &#x2018sécurité&#x2019 encapsulant l&#x2019API d&#x2019IAIK, et permettant d&#x2019effectuer les opérations de signature/chiffrement SMIME, la génération de timeStamps, la signature électronique de records dans les bases de données, le chiffrements d&#x2019éléments sensibles en XML, le contrôle d&#x2019intégrité de records effectués par les utilisateurs des différentes applications.
  L&#x2019ensemble des API gèrent d&#x2019une manière transparente les clés privées stockées sur cartes à puces (Ikey 3000 de Rainbow) et Boîtiers HSM (Luna SA de SafeNet).
  
  &#x2022 Un outil basé sur Eclipse RCP permettant de contrôler les abus sur le système. L&#x2019utilisateur est authentifié en SSL Client sur l&#x2019outil à l&#x2019aide d&#x2019une Carte à puce, déchiffre une configuration qui lui est distribuée et qui contient le mot de passe de la partition HSM, charge la partition et ces clés et effectue les opérations de déchiffrement des records directement sur le HSM. L&#x2019outil effectue occasionnellement des opérations d&#x2019audit en signant ces opérations et en les insérant dans une base dédiée. Cet outil intègre en effet le principe du &#x2018Triple Eye&#x2019 en séparant les rôles des administrateurs de ceux des contrôleurs applicatifs (une sorte de police des polices).

• Directeur Technique,

  AMD Consulting
  Jan 2006 - Jan 2009

  - Conception et développement d&#x2019une application de gestion de TAN Listes. Ces cartes en plastique permettant de doter une application d&#x2019un système renforcé de sécurisation à double facteur. Une solution d&#x2019authentification forte à faible coût, destinée aux applications très grand public (Banques, assurances, opérateurs, Impôts &#x2026). La solution se positionne au niveau de la couche authentification d&#x2019une application.
  - Conception et livraison de l&#x2019application DATS destinée à optimiser la gestion des candidats dans une société de service. Un véritable workflow de suivi de parcours de recrutement/rappel intégrant aussi les appels d&#x2019offres client et les CVs au format XML-HR.
  - Conception et amélioration du framework de la société, conjointement avec les efforts effectués notre partenaire R&D Setic
  - Conception d&#x2019une application de scoring de tests de vulnérabilités basée sur un projet de recherche. La méthode CCWAPPS m&#x2019a semblé être la plus adaptée au besoin.

• Fondation de la société Setic (2 Salariés à ce jour)
  Jan 2006 - aujourd'hui

  Fondation de la société Setic, spécialisée dans le domaine du développement J2EE. Cette société deviendra plus tard le partenaire stratégique de notre département R&D chez AMD Consulting, et est actuellement le partenaire stratégique de Wavatec aussi dans le sens ou nos trois sociétés partagent les mêmes socles techniques de développements et optimisent ensemble le rendement de ce noyau.
  Setic sera (voir plus haut), le pilier responsable des développement des deux applications SaaS qui sont actuellement en cours de livraison chez Amazon.

• Intégrateur PKI &#x2013 Auditeur Wava

  LA FRANCAISE DES JEUX
  Jan 2005 - Jan 2006

  Dans le cadre du projet de la mise en place de l&#x2019application d&#x2019offre de Jeu en ligne.
  
  Conseil et accompagnement du responsable sécurité dans sa démarche de sécurisation de l&#x2019application de prise de jeu Online.
  
  Cette mission a aboutie à la rédaction d&#x2019un ensemble de documents et recommandations, et à l&#x2019édition d&#x2019un outil d&#x2019intrusion spécifique à l&#x2019application en ligne capable de générer plusieurs milliers de vecteurs d&#x2019attaques web en partant du code même de l&#x2019application. Cet outil a permis de détecter plusieurs failles graves dans l&#x2019application en ligne et de les remédier.
  
  L&#x2019outil en question se basait sur le Guide OWASP V2 (aujourd&#x2019hui mis à jour vers les recommandations du Guide V3). Un port du code de l&#x2019outil vers une nouvelle version est actuellement en cours de développement et sera généralisé pour l&#x2019ensemble des nouveaux Jeux proposés par l&#x2019application de prise de jeu en ligne (Bingo, Jeux Temps réel, Jeux de Grattage, et les autres ).
  
  Dans le cadre de cette même mission, et du projet de migration X.25 > IP :
  &#61607 Etude et mise en place d&#x2019une PKI pour authentifier d&#x2019une manière sécurisée
  l&#x2019ensemble des terminaux de prise de Jeu de la société.
  Un projet ambitieux, un des plus grand déploiement IPSec au monde (non mis en production à l&#x2019heure actuelle). Cette étude s&#x2019est concrétisée par le développement d&#x2019une PKI utilisant le code d&#x2019EJBCA (en partie), et l&#x2019implémentation du protocole SCEP d&#x2019une manière à ce qu&#x2019il puisse interagir avec les concentrateurs VPN propriétaires retenus par le client. Le projet de PKI a aussi abouti à la rédaction des documents d&#x2019architecture et de déploiement de la PKI.

• Consultant Sécurité, Expert PKI

  NATIXIS Banques Populaires
  Jan 2004 - Jan 2005

  Objectif : Intégrer une solution de certification du marché en respectant les directives de la Politique de Référencement Intersectorielle de Sécurité (voir ADAE)
  Dans le cadre de projet de mise en place de l'offre de certification Nexus Smart Trust Certificate Manager de la société Nexus technologies.
  
  Accompagner la MOA, en temps que maîtrise d'&#x152uvre,
  Cette mission a aboutie à l'élaboration de 8 livrables, notamment :
  1. Présentation aux équipes concernées des avantages des PKI et de l'offre de certification de la solution retenue de Nexus
  2. Elaboration d'une documentation synthétisant l'ensemble des fonctionnalités offertes par la solution SmartTrust
  3. Présentation d'un dossier de Qualification d'une maquette pour validation par les équipes techniques
  4. Elaboration d'un certain nombre de benchmarks sur la solution, qualification et synthèse d'un bilan de maquette
  5. Rédaction d'un 'Fiche de Candidature' pour démarrer officiellement le cycle de validation du produit
  6. Rédaction d'un 'Document d'architecture technique' résumant l'ensemble des éléments nécessaires à la mise en place de la solution en production
  7. Rédaction d'un 'Contrat d'Avant Projet' expliquant les avantages fonctionnels offert par l'intégration de cette solution dans la maison
  8. Rédaction d'un plan de migration entre la solution actuelle de certification et la solution retenue
  
  Sécurité des projets
  &#x2022 Analyse des risques liés à la sécurité en phase avant projet
  &#x2022 Préconisations pour limiter les risques
  &#x2022 Accompagnement des projets dans la mise en place des éléments de sécurité
  &#x2022 Vérification de l'application des normes internes de la maison et des préconisations de sécurité du département SSI
  
  Développements systèmes distribués
  &#x2022 Maintenance d'une application J2EE/MVC2 de certification interne
  &#x2022 Développement de modules cryptographiques abstrait pour exploitation par les métiers
  &#x2022 Développement intégration et support d'une solution d'authentification forte en SSL avec JSSE, intégrant la vérification OCSP de la validité des certificats
  &#x2022 Développement d'un client SSH/SFTP en Java pour les systèmes distribués avec JSch
  &#x2022 Maintenance d'un protocole d'authentification forte interne sur site central via des certificats X.509
  &#x2022 Développement d'un gestionnaire abstrait de fournisseurs cryptographiques
  &#x2022 Developpement d'une application web set servant d'un WebService offert par la société Dictao afin d'effectuer des opérations de vérification de signatures XMLDsig
  
  Sécurité des réseaux
  &#x2022 Résolution de plusieurs incidents de production sur une infrastructure IDS en J2EE à base de RealSecure Site Protector
  &#x2022 Assistance à l'élaboration d'un livrable sur les solutions d'authentification forte à base de EAP/TTLS et de 802.11i sur les réseaux sans fils
  &#x2022 Suivi des évolutions sécuritaires et proposition de solutions
  
  Sécurité des systèmes distribués
  &#x2022 Suivi des incidents 'techniques' et 'sécurité' sur deux applications web de sécurité en production
  &#x2022 Suivi des incidents 'sécurité' ayant lieu sur les serveusr WAS de production de plusieurs applications
  &#x2022 Gestion d'un parc de certificats pour les environnements DEV et REC pour les services web intra-groupes et internes

• Formateur en Sécurité

  POINT COM
  Jan 2004 - Jan 2004

  Elaboration d&#x2019une offre de formation sur les sujets de sécurité suivant (support des cours disponible)
  &#x2022 Sensibilisation sur la sécurité des SI
  &#x2022 La messagerie Internet
  &#x2022 Mise en place de Postfix Redhat 9.0
  &#x2022 Sécurisation de POP3 via SSL
  &#x2022 Mise en place d&#x2019un serveur IMAP
  &#x2022 Introduction à la cryptographie
  Les Annuaires LDAP
  &#x2022 La signature numérique
  &#x2022 Le chiffrement de données

• MOE Développeur Crypto et J2EE

  Francert « Start-Up Sécurité »
  Jan 2002 - Jan 2004

  Conception de Produit
  &#x2022 Recensement de l&#x2019Etat de l&#x2019art du marché des produits de chiffrement et de signature de données et analyse qualitative de leurs fonctionnalités
  &#x2022 Prise de contact avec les clients potentiels et recensement de leurs besoins
  &#x2022 Conception des produits et regroupement des fonctionnalités
  &#x2022 Elaboration des plans d&#x2019action et des délais de livraison des produits

• Développement JAVA

  INEOPKI, INEOWEB, INEOSIGN, INEOBOX
  aujourd'hui

  &#x2022 Spécification et Développement J2EE d&#x2019une partie de INEOPKI, une infrastructure de gestion de clés (PKI) munie d&#x2019un concepteur avancé de politiques de certifications et d&#x2019un serveur OCSP.
  &#x2022 Développement des briques d&#x2019administration de la PKI
  &#x2022 Développement des briques de publication dans les annuaires LDAP
  &#x2022 Développement d&#x2019un répondeur OCSP ayant la nouveauté de recevoir des flux de publication directement du serveur de certification
  &#x2022 Tests d&#x2019interopérabilité du produit avec plusieurs outils exploitant les certificats X.509
  &#x2022 Tests d&#x2019interopérabilité avec plusieurs annuaires LDAP
  &#x2022 Tests d&#x2019interopérabilité avec les magasins d&#x2019Internet Explorer et de Netscape Navigator
  
  &#x2022 Développement de INEOWEB, une application web J2EE/MVC s&#x2019interfacant avec le serveur de certification et agissant en tant que autorité d&#x2019enregistrement en ligne. Ajout de la fonctionnalité de certification en deux phases
  &#x2022 Tests de récupération des certificats derrière un serveur apache configuré en mode reverse-proxy
  &#x2022 Tests de certification de client s sous Internet Explorer(Xenroll) et Netscape Navigator(Keygen)
  
  &#x2022 Développement de INEOBOX, un coffre fort virtuel permettant le chiffrement de données à l&#x2019aide d&#x2019une carte à puce respectant le standard PKCS11
  &#x2022 Ajout du chiffrement sécurisé (AES 128/256, RSA 1024 -> 2048)
  &#x2022 Tests d&#x2019intégration avec plusieurs modèles de cartes à puces
  &#x2022 Tests de recouvrement de données par un administrateur d&#x2019un coffre fort à carte à puce perdue
  
  &#x2022 Développement de INEOSIGN, un client lourd permettant l&#x2019échange de données signées et chiffrées avec un destinataire. Permet aussi l&#x2019envoi de coffre forts au format INEOBOX.
  &#x2022 Intégration de l&#x2019utilisation des cartes à puces pour les opérations de signature
  &#x2022 Envoi des messages sous le format S/MIME
  &#x2022 Intégration des fonctionnalités de co-signature et de sur-signature
  &#x2022 Tests d&#x2019intégration avec plusieurs modèles de cartes à puces
  &#x2022 Tests de recouvrement de données par un administrateur d&#x2019un coffre fort à carte à puce perdue
  &#x2022 Tests d&#x2019interopérabilité avec Microsoft Outlook Express
  R&D, Offres de Formations en Sécurité
  &#x2022 Offre de formations aux entreprises sur les différents sujets de certification
  &#x2022 Participation au projet national ICARE pour la standardisation de l&#x2019utilisation des certificats d&#x2019attributs.
  R&D:
  - Tuteur de Thèse de doctorat sur le sujet de l&#x2019analyse et la corrélation des évènements de logs sur des systèmes hétérogènes &#x2013 Liris &#x2013 INSA Lyon
  - Tuteur de thèse de mastère spécialisé sur le sujet d&#x2019intégration d&#x2019une méthode d&#x2019authentification forte basée sur nos travaux sur SWAT aux systèmes de SSO &#x2013 ENST Télécom Paritech &#x2013 Paris
  - R&D sur les next generation apps, ou Web 3.0, basées sur les architectures SOFEA
  
  Points clés
  - Rédaction de guides, de normes et de politiques de sécurité du système d'informations
  - Définition d'architecture système et applicative
  - Elaboration de Roadmap de produits
  - Esprit entrepreneur
  - Web Application Vulnerability Assessment de plusieurs applications grand public
  - Audit sécurité des infrastructures WLAN entreprise
  - Développement de plusieurs clients lourds (SWING, Eclipse RCP)
  - Développement de composants crypto pour des applications Front Office et Back Office (Dématérialisation d&#x2019échanges et Chiffrement partiel de données)
  - Développement d&#x2019une PKI SCEP basée sur les API de BouncyCastle
  - Développement d'une PKI en Java / JNI / OpenSSL
  - Développement d&#x2019une WebRA pour l&#x2019enrollement d&#x2019utilisateurs finaux
  - Développement d&#x2019un système d&#x2019enrollement X.509 auprès d&#x2019un site central
  - Développement de modules de synchronisation LDAP