Publication de mission
Commission sur la mission
Dépôt sécurisé, versé à la livraison
Par proposition d'expert
La rétro-ingénierie en sécurité, c'est quoi ?
Le reverse engineering, ou rétro-ingénierie, consiste à analyser un programme déjà compilé pour comprendre ce qu'il fait, sans disposer de son code source. L'analyste désassemble le binaire, le décompile en pseudo-code, puis l'exécute sous contrôle pour observer son comportement réel.
En sécurité, elle sert à répondre à des questions précises : ce logiciel fournisseur contient-il une porte dérobée ? Que fait ce fichier malveillant trouvé sur un poste ? Ce firmware embarque-t-il des mots de passe en dur ? Combien de temps un attaquant mettrait-il à contourner la protection anti-tamper de mon application ?
C'est un travail de spécialiste, long et minutieux, qui demande une autorisation écrite et un objectif clair. Plus la question posée est précise, plus l'analyse est rapide et le livrable utile.
Cas d'usage
Six situations où une rétro-ingénierie apporte une réponse qu'aucun autre audit ne donne.
Tester vos protections anti-tamper
Vous éditez un logiciel, un jeu ou une application mobile protégés par obfuscation, anti-débogage, contrôle d'intégrité ou détection de root et de jailbreak. L'expert mesure ce qu'un attaquant peut contourner, et en combien de temps.
Auditer un logiciel sans code source
Bibliothèque tierce, client lourd, pilote ou outil fourni par un prestataire : l'analyse du binaire révèle les fonctions sensibles, les secrets en dur, les appels réseau et les failles mémoire.
Analyser un malware
Après un incident, comprendre ce que fait l'échantillon : persistance, serveur de commande, chiffrement, données visées. Le résultat sert à nettoyer le parc et à détecter la même menace ailleurs.
Firmware et objets connectés
Extraction et analyse du firmware d'une caméra, d'un routeur ou d'un équipement industriel : identifiants par défaut, services cachés, mécanisme de mise à jour, protocoles propriétaires.
Applications mobiles
Décompilation d'une application Android ou iOS, la vôtre ou celle d'un partenaire : clés d'API embarquées, épinglage de certificat, stockage local, appels vers des services non déclarés.
Interopérabilité et logiciel ancien
Comprendre le format de fichier ou le protocole d'un logiciel ancien, sans documentation ni éditeur joignable, pour en extraire vos données ou le faire dialoguer avec un autre système.
Cadre légal et autorisation écrite
La rétro-ingénierie est encadrée. Avant de lancer une mission, vérifiez que vous avez le droit d'analyser l'objet visé, et écrivez-le. Ces repères ne remplacent pas l'avis d'un juriste.
Votre propre logiciel
Si vous êtes titulaire des droits, vous pouvez faire analyser votre code compilé librement. Une lettre de mission signée suffit à fixer le périmètre, l'objectif et la confidentialité des résultats.
Un logiciel dont vous avez la licence
Le Code de la propriété intellectuelle (art. L122-6-1) permet à l'utilisateur légitime d'observer, d'étudier et de tester un logiciel pour comprendre ses principes, et d'en décompiler une partie à des fins d'interopérabilité, sous conditions. Relisez votre contrat de licence avant toute analyse.
Les mesures techniques de protection
Contourner une protection anti-copie ou un DRM d'une œuvre est sanctionné par le même code. Tester vos propres protections anti-tamper est permis ; en casser une chez un tiers ne l'est pas.
Le secret des affaires
Étudier un produit obtenu de façon licite est un moyen légal d'en connaître le fonctionnement (Code de commerce, art. L151-3), sauf si un contrat l'interdit. Vérifiez les clauses signées avec le fournisseur.
L'autorisation écrite
Dans tous les cas, l'expert travaille sur la base d'un document signé : objet analysé, version, objectif, limites, et sort des résultats. Si l'analyse touche un système en ligne, l'accès sans autorisation relève du Code pénal (art. 323-1).
Livrables attendus
Fixez le livrable avant le début de la mission : c'est lui qui permet de juger le travail et de libérer le paiement.
Une synthèse pour la direction
Deux pages au plus : la question posée, la réponse, le niveau de risque et les décisions à prendre, sans jargon.
Le rapport technique
L'architecture du binaire, les fonctions clés identifiées, le pseudo-code commenté des parties critiques, et chaque faille avec sa preuve et ses étapes de reproduction.
Les indicateurs de compromission
Pour un malware : empreintes des fichiers, domaines et adresses contactés, clés de registre, règles de détection prêtes à charger dans vos outils.
Les scripts et projets d'analyse
Projets Ghidra ou IDA annotés, scripts Frida ou de déchiffrement : ils permettent à votre équipe de reprendre l'analyse sur la version suivante.
Les recommandations et le contre-test
Les protections à ajouter ou renforcer, classées par priorité, puis une vérification sur la version corrigée si elle est prévue dans la mission.
Le brief à fournir à l'expert
Un brief complet évite des jours de travail perdus. Rassemblez ces éléments avant de publier votre mission.
L'objet et sa version
Le fichier ou l'équipement à analyser, sa version exacte, sa plateforme (Windows, Linux, Android, iOS, ARM) et, si possible, son empreinte.
La question à laquelle répondre
Une phrase : « ce binaire envoie-t-il des données vers l'extérieur ? », « notre protection résiste-t-elle à un attaquant motivé ? ». Sans question, l'analyse n'a pas de fin.
Les droits et l'autorisation
La preuve que vous pouvez faire analyser l'objet (droits d'auteur, licence, contrat), et l'autorisation écrite signée par la bonne personne.
L'environnement
Ce que l'expert recevra : appareil de test, comptes, accès à un serveur de recette, documentation existante, et ce qui est hors limites.
La confidentialité
Accord de confidentialité, manipulation d'un échantillon malveillant en environnement isolé, durée de conservation et destruction des fichiers à la fin de la mission.
Le délai et le livrable
La date à laquelle vous avez besoin de la réponse, et le livrable attendu parmi ceux décrits plus haut.
Publier une mission de reverse engineering sur Hackersdate
Hackersdate met en relation des organisations avec des experts en cybersécurité indépendants. Voici comment confier votre analyse.
Publiez votre mission
Reprenez les éléments du brief : objet, question, cadre et livrable. Ne joignez pas l'échantillon à l'annonce : il se transmet ensuite à l'expert retenu. La publication est gratuite.
Recevez des propositions d'experts
Des hackers éthiques vous répondent avec leur approche, leur délai et leur prix. Chaque expert dépense 1 crédit pour déposer une proposition : ceux qui répondent sont intéressés par votre mission.
Choisissez et cadrez
Comparez les profils et les avis, échangez dans la messagerie, puis acceptez la proposition retenue. Signez l'autorisation écrite et l'accord de confidentialité avant de transmettre le moindre fichier.
Payez en dépôt sécurisé
Le montant est réglé par Stripe et conservé en dépôt sécurisé. Il n'est versé à l'expert qu'à la livraison, quand vous libérez les fonds et laissez votre avis. Hackersdate prélève une commission de 2 %.
Experts en cybersécurité inscrits
Des hackers éthiques indépendants, avec leur profil et leurs avis
Questions fréquentes sur le reverse engineering
Faites analyser votre logiciel ou votre protection
Publiez gratuitement votre besoin et recevez les propositions de hackers éthiques indépendants.
Publier ma mission gratuitement
