Paquet Reniflant : Méthodes D'Empêchement De Détection D'Outils De Reniflement

1. Introduction :

Share

|

Le renifleur de paquet est un programme qui surveille le trafic de réseau qui traverse votre ordinateur. Un renifleur de paquet qui fonctionne sur votre PC s'est relié à l'Internet à l'aide d'un modem, peut vous dire votre IP address courant aussi bien que les adresses d'IP des serveurs d'enchaînement dont les emplacements vous visitez.
Vous pouvez observer toutes les données non codées qui voyagent à partir de votre ordinateur, sur l'Internet. Ceci inclut des mots de passe et d'autres données sensibles qui ne sont pas fixées par chiffrage. Mettez un renifleur de paquet sur un couteau sur l'Internet, et vous pouvez observer tout le trafic de réseau qui traverse ce couteau. Ceci inclut absolument n'importe qui dont les données arrivent au passage par ce couteau.
Les renifleurs sont fondamentalement des programmes d'interception de données. Ils fonctionnent parce que l'Ethernet a été établi autour d'un principe du partage. La plupart d'utilisation de réseaux ce qui est connue comme technologie d'émission, signifiant que chaque message transmis par un ordinateur sur un réseau peut être lu par n'importe quel autre ordinateur sur ce réseau. Dans la pratique, tous les autres ordinateurs, à moins que celui pour lesquels le message est signifié, ignoreront ce message. Cependant, des ordinateurs peuvent être faits pour accepter des messages, même si ils ne sont pas signifiés pour eux, au moyen d'un renifleur.
Un renifleur est habituellement passif, il rassemble seulement des données. Par conséquent, il devient extrêmement difficile de détecter le renifleur. Quand installé sur un ordinateur, un renifleur produira d'un certain un peu du trafic, bien que, et est donc discernable.

2. Fonctionnement de renifleur de paquet

Un renifleur de paquet fonctionne à côté de regarder chaque paquet introduit le réseau, y compris des paquets non prévus pour lui-même. Ceci est accompli par une multitude de moyens. Ces méthodes de reniflement seront décrites ci-dessous. Les renifleurs fonctionnent également différemment selon le type de réseau qu'ils sont dedans

Ethernet Partagé :
Dans un environnement partagé d'Ethernet, tous les centres serveurs sont reliés au même autobus et concurrencent entre eux pour la largeur de bande. En tels paquets d'un environnement signifiés pour une machine sont reçus par toutes les autres machines. Ainsi, n'importe quelle machine dans un tel environnement placé dans le mode promiscueux pourra capturer des paquets signifiés pour d'autres machines et peut donc écouter tout le trafic sur le réseau.

Ethernet Commuté :
Un environnement d'Ethernet dans lequel les centres serveurs sont reliés à un commutateur au lieu d'un moyeu s'appelle un Ethernet commuté. Le commutateur maintient une table maintenant le MAC address de chaque ordinateur et livre des paquets destinés à une machine particulière au port sur lequel cette machine est reliée. Le commutateur est un dispositif intelligent qui envoie des paquets à l'ordinateur destiné seulement et n'annonce pas à toutes les machines sur le réseau, comme dans le cas précédent. Cet environnement commuté d'Ethernet a été prévu pour une meilleure exécution de réseau, mais car un avantage supplémentaire, une machine en mode promiscueux ne fonctionnera pas ici. En raison de ceci, la plupart des administrateurs de réseau supposent que les renifleurs ne fonctionnent pas dans un environnement commuté.

3. Utilisations des renifleurs de paquet

Des programmes de reniflement sont trouvés sous deux formes. Des renifleurs de paquet commerciaux sont employés pour aider à maintenir des réseaux, alors que des renifleurs de paquet souterrains sont employés par des attaquants pour gagner l'accès non autorisé aux centres serveurs à distance. Énumérées ci-dessous sont quelques utilisations communes de renifler des programmes :

• Recherche des usernames et des mots de passe de texte en clair du réseau.
• Conversion du trafic de réseau dans la forme lisible humaine.
• Analyse de réseau pour trouver des goulots d'étranglement.
• Détection d'intrusion de réseau au moniteur pour des attaquants.

En utilisant un renifleur dans une manière illégitime est considéré une attaque passive. Elle directement ne connecte pas ou ne se relie à aucun autre système sur le réseau. Cependant, l'ordinateur que le renifleur est installé dessus pourrait avoir été compromis en utilisant une attaque active. La nature passive des renifleurs est ce qui rend les détectant si difficile. La liste suivante décrit quelques raisons pour lesquelles les intrus emploient des renifleurs sur le réseau :

• Usernames et mots de passe de serrage de texte en clair
• L'information de propriété industrielle compromettante
• Capturant et rejouant la voix au-dessus des conversations téléphoniques d'IP
• Tracer un réseau
• Empreinte digitale passive d'OS

Évidemment, ce sont des utilisations illégales d'un renifleur, à moins que vous soyez un essayeur de pénétration dont le travail il est de trouver ces types de faiblesses et de les rapporter à une organisation. Pour que renifler se produise, un intrus doit d'abord accéder au câble de communication des systèmes qui sont d'intérêt. Ceci signifie être sur le même segment partagé de réseau, ou brancher sur le câble quelque part entre les chemins des communications. Si l'intrus n'est pas physiquement présent au système de cible ou au point d'accès de communications, il y a des manières immobiles de renifler le trafic de réseau. Celles-ci incluent :

• Rupture en ordinateur de cible et installation du logiciel télécommmandé de reniflement.
• Se cassant en point d'accès de communications, tel qu'un Internet Service Provider (ISP) et installer le logiciel de reniflement.
• Locating/finding un système à l'ISP qui a déjà le logiciel de reniflement installé.
• Utilisation de la technologie sociale pour gagner l'accès physique à une ISP pour installer un renifleur de paquet.
• En ayant un complice d'initié à l'organisation d'ordinateur de cible ou à l'ISP installez le renifleur.
• Réorientant des communications pour prendre un chemin qui inclut l'ordinateur’de l'intrus s.

4. Outils De Reniflement

• tcpdump : Tcpdump est un outil puissant qui nous permet de renifler des paquets de réseau et de faire une certaine analyse statistique hors de ces décharges. Un inconvénient principal au tcpdump est la taille du dossier plat contenant le rendement des textes. Mais le tcpdump nous permet de voir avec précision tout le trafic et nous permet de créer les manuscrits de surveillance statistiques.
• sniffit : Renifleur de paquet robuste avec le bon filtrage.
• Éthéré : Un analyseur libre de protocole de réseau pour UNIX et Windows. Il vous permet d'examiner des données d'un réseau de phase ou à partir d'un dossier de capture sur le disque.
• Chasse : Le but principal du projet de CHASSE est de développer des outils pour exploiter des faiblesses bien connues dans la suite de protocole de TCP/IP.
• Dsniff : Dsniff est une collection d'outils pour le réseau apurant et le dsniff, le filesnarf, le mailsnarf, le msgsnarf, l'urlsnarf, et webspy d'essai de pénétration surveillent passivement un réseau pour les données intéressantes (mots de passe, E-mail, dossiers, etc.). l'arpspoof, le dnsspoof, et le macof facilitent l'interception du trafic de réseau normalement indisponible à un attaquant (par exemple, en raison de commutation layer-2). le sshmitm et le webmitm mettent en application des attaques singe-dans-le-moyennes actives contre des sessions réorientées de SSH et de HTTPS en exploitant les attaches faibles dans PKI ad-hoc.

5. Méthodes de reniflement

Il y a trois types de méthodes de reniflement. Quelques méthodes fonctionnent dans les réseaux non-switched tandis que d'autres fonctionnent dans les réseaux commutés. Les méthodes de reniflement sont : reniflement IP-BASÉ, reniflement Imper-basé, et reniflement Arp-basé.

reniflement IP-BASÉ par 5.1

C'est la manière originale du paquet reniflant. Cela fonctionne à côté de mettre la carte de réseau dans le mode promiscueux et de renifler tous les paquets assortissant le filtre de IP address. Normalement, l'isn t de filtre’de IP address a placé ainsi il peut capturer tous les paquets. Cette méthode fonctionne seulement dans les réseaux non-switched.

reniflement Imper-basé par 5.2

Cette méthode fonctionne à côté de mettre la carte de réseau dans le mode promiscueux et de renifler tous les paquets assortissant le filtre de MAC address.

reniflement Arp-basé par 5.3
Cette méthode fonctionne différent. Elle le doesn’t a mis la carte de réseau dans le mode promiscueux. Cet isn’t nécessaire parce que des paquets d'arp nous seront envoyés. Ceci se produit parce que le protocole d'arp est apatride. Pour cette raison, le reniflement peut être fait sur un réseau commuté. Pour exécuter ce genre de reniflement, vous d'abord devez empoisonner l'arp cache1 des deux centres serveurs que vous voulez pour renifler, identifiant vous-même comme autre centre serveur dans le raccordement. Une fois que les cachettes d'arp sont empoisonnées, les deux centres serveurs commencent leur raccordement, mais au lieu de l'envoi le trafic directement à l'autre centre serveur il obtient envoyé à nous. Nous alors notons le trafic et lui faisons suivre le vrai centre serveur prévu de l'autre côté du raccordement. Ceci s'appelle une attaque homme-dans-le-moyenne.

6. Détection d'un renifleur de paquet

Dans la théorie, il est impossible de détecter des programmes de reniflement parce qu'ils sont passifs : ils rassemblent seulement des paquets, ils ne transmettent rien. Cependant, dans la pratique il est parfois possible de détecter des programmes de reniflement.
Vue d'ensemble générale des méthodes de détection

méthode de 6.1 cinglements

Le tour utilisé ici doit envoyer une demande de cinglement avec le IP address de la machine suspecte mais de non son MAC address. Dans le meilleur des cas, aucune machine ne devrait voir ce paquet, car chaque adapteur d'Ethernet le rejettera puisqu'il n'assortit pas son propre MAC address. Si la machine suspecte court un renifleur, elle répondra puisqu'elle ne rejette pas des paquets avec un MAC address différent de destination. C'est une vieille méthode et plus fiable.
La plupart de course "de renifleurs de paquet" sur les machines normales avec une pile normale de TCP/IP. Ceci signifie que si vous envoyez une demande à ces machines, elles répondront. Le tour doit envoyer une demande au IP address de la machine, mais pas à son adapteur d'Ethernet.

6.2 Méthode d'arp

La méthode d'arp est semblable à la méthode de cinglement, mais un paquet d'arp est employé à la place. La méthode d'arp la plus simple transmet un arp à l'non-a annoncé l'adresse. Si une machine répond à un tel arp de son IP address, alors elle doit être en mode promiscueux.
Une variation de cette technique tire profit du fait ce des machines "cachette" ARPs. Chaque arp contient l'information complète de tous les deux l'expéditeur aussi bien que l'information désirée de cible. En d'autres termes, quand j'envoie un arp simple à l'adresse d'émission, j'inclus mon propre tracer d'adresse d'IP-À-Ethernet. Chacun autrement sur le fil se rappelle cette information pour les minutes à venir. Par conséquent, vous pourriez faire quelque chose comme l'expédition non-avez annoncé arp, puis un cinglement d'émission. Quiconque qui répond à votre cinglement sans ARPing vous pourrait seulement avoir le MAC address d'une armature reniflée d'arp. (pour rendre double-sûr, employez un MAC address différent de source dans le cinglement).

6.3 Méthode de DNS

Beaucoup de programmes de reniflement font les consultations renversé-DNS automatiques sur les adresses d'IP qu'ils voient. Par conséquent, un mode promiscueux peut être détecté par l'observation pour le trafic de DNS qu'il se produit.
Cette méthode peut détecter les machines homed duelles et peut travailler à distance. Vous devez surveiller les consultations inverse-DNS entrantes sur le serveur de DNS dans votre organisation. Faites simplement un champ de cinglement dans toute la compagnie contre les machines qui sont connues pour ne pas exister. Quiconque qui fait des consultations renversées de DNS sur ces adresses essayent à la consultation les adresses d'IP vues en paquets d'arp, que seulement les programmes de reniflement .

6.4 Source-conduisent la méthode

Une autre technique comporte la configuration source-conduisent l'information à l'intérieur de l'en-tête d'IP. Ceci peut être employé pour détecter des renifleurs de paquet sur autre, segments voisins.

• Créez un paquet de cinglement, mais mettez un itinéraire de lâche-source pour le forcer par une autre machine sur le même segment. Cette machine devrait avoir le cheminement neutralisé, de sorte qu'elle ne lui fasse pas suivre en fait la cible.
• Si vous obtenez une réponse, alors il est probable la cible a reniflé le paquet outre du fil.
• Dans la réponse, le doublecheck le champ de TTL à découvrent s'il 'revenait en raison du reniflement (plutôt que d'étant conduit correctement)

Dans le source-cheminement lâche, une option est ajoutée à l'en-tête d'IP. Les couteaux ignoreront le IP address de destination et expédier à la place au prochain IP address dans source-conduisez l'option. Ceci des moyens quand vous envoyez le paquet, vous pouvez dire que "envoyez svp le paquet à Anoushka, mais conduisez-le par l'Aryen d'abord".
Dans ce scénario, l'"Aryen" et l'"Anoushka" sont sur le segment. L'Aryen ne conduit pas, et donc laissera tomber le paquet une fois reçu. Par conséquent, "Anoushka" répondra seulement si elle a reniflé le paquet du fil.
Sur au loin le fortuit que l'Aryen conduit en effet (dans ce cas Anoushka répondra), alors le champ de TTL peut être employé pour vérifier qu'anoushka a répondu de la conduite par l'Aryen, ou répondant directement.

6.5 La méthode de leurre

Considérant que le cinglement et les méthodes d'arp travaillent seulement au réseau local, la méthode de leurre fonctionne partout.
Puisque tant de protocoles permettent des mots de passe "des textes plats", et les intrus courent des tamis recherchant ces mots de passe, la méthode de leurre satisfait simplement à ce besoin. Elle consiste simplement en installer un client et un service de chaque côté du réseau, que le client court un manuscrit pour ouvrir une session au serveur en utilisant le telnet, le BRUIT, l'IMAP, ou un autre protocole de plain-text. Le serveur est configuré avec les comptes spéciaux qui n'ont aucun vrai droit, ou le serveur est complètement virtuel (dans ce cas, les comptes n'existent pas vraiment).

6.6 Méthode de centre serveur

Quand les intrus pénètrent par effraction dans vos systèmes, ils laisseront souvent mettent des programmes sur écoute fonctionnant dans le fond afin de renifler des mots de passe et l'utilisateur rend compte outre du fil. Ceux-ci sont souvent enfoncés (comme Trojan) dans d'autres programmes, ainsi la seule manière de trouver si quelque chose comme ceci fonctionne est de questionner les interfaces pour voir si elles fonctionnent en mode promiscueux.

6.7 Méthode de latence

Cette méthode est fondée sur l'hypothèse que la plupart des renifleurs font l'analyse. Simplement mis, dans cette méthode, une quantité énorme de données est envoyé sur le réseau, et la machine suspecte est cinglée avant et pendant l'inondation de données. Si la machine est en mode promiscueux, elle analysera les données, augmentant la charge là-dessus. Cela prendra donc du temps supplémentaire de répondre au paquet de cinglement. Cette différence en temps de réponse peut être employée comme indicateur de si une machine est en mode promiscueux. Un point intéressant noter est les paquets peut être retardé en raison de la charge sur le fil, ayant pour résultat les positifs faux.
C'est une méthode plus mauvaise. D'une part, elle peut de manière significative dégrader l'exécution de réseau. D'autre part, elle peut 'aveugler 'des renifleurs de paquet en envoyant trop de trafic.
Cette méthode fonctionne en envoyant des quantités énormes du trafic de réseau sur le fil. Ceci n'a aucun effet sur les machines non-promiscueuses, mais a un effet énorme sur des machines de reniflement, particulièrement ces protocoles de couche application d'analyse pour des mots de passe. Cinglent simplement la machine avant que la charge et pendant la charge et l'essai de la différence dans le temps de réponse puisse indiquer si la machine est sous la charge.
Un problème avec cette technique est que des paquets peuvent être retardés simplement en raison de la charge sur le fil, qui peut enfermer des arrêts et donc des positifs faux. D'autre part, beaucoup de programmes de reniflement sont "mode d'utilisateur" tandis que des cinglements sont répondus à en le "mode de grain", et sont donc indépendant de charge d'unité centrale de traitement sur une machine, causant de ce fait les négatifs faux.

6.8 Réflectomètres De TDR(Time-Domaine)

Un TDR est fondamentalement RADAR pour le fil. Il envoie une impulsion en bas du fil, représente graphiquement alors les réflexions qui reviennent. Un expert peut regarder le graphique de la réponse et de la figure dehors si des dispositifs sont attachés au fil qui ne devrait pas être. Ils indiquent également rudement où, en termes de distance le long du fil, le robinet est situé.
Ceci peut détecter les renifleurs de paquet de matériel qui pourraient être attachés au fil, mais qui soyez complètement silencieux autrement. TDRs était employé beaucoup en vieux jours d'Ethernet coaxial afin de détecter des robinets de vampire, mais de nos jours avec tenez le premier rôle les topologies, elles sont employés très rarement. Là existent également équipement d'OTDR, mais c'est vraiment seulement pour truely le paranoïde.

6.9 Lumières de moyeu

Vous pouvez manuellement vérifier des moyeu-lumières pour voir s'il y a raccordements que vous ne vous attendez pas. Il aide à avoir marqué des câbles pour figurer dehors où (physiquement) un renifleur de paquet pourrait être localisé.

6.10 Surveillance de SNMP

Les moyeux futés avec la gestion de SNMP peuvent fournir monitroning automatisé des moyeux d'Ethernet (et autre). Quelques consoles de gestion vous ont même laissé noter connections/disconnections à tous vos ports. Si vous avez configuré le système avec l'information où tous les câbles se terminent, vous pouvez parfois dépister où un renifleur de paquet pourrait se cacher.

7. Il y a plusieurs outils qui peuvent être utilisés pour détecter des renifleurs sur votre réseau.

Bon nombre d'entre eux sont périmés et plus activement non maintenus, et parfois juste dur pour trouver. En outre, de plus nouveaux renifleurs ont été récrits pour éluder leur détection. Cependant, voici certains d'entre eux.

7.1. PromiScan Ver 0.27 : C'est un programme libre par Security vendredi qui est à jour et activement maintenu. Il fonctionne sur Windows 2000 et XP et exige le conducteur de WinPcap. Il peut balayer le réseau local recherchant les adapteurs de mode promiscueux à distance, en utilisant des paquets d'arp.

7.2. AntiSniff ce programme a été à l'origine écrit par L0pht, mais est plus soutenu ou maintenu.

7.3. Veillez sur ce programme libre effectue la détection promiscueuse à distance, et court sur de diverses versions de schéma et de Linux. Elle exige des bibliothèques de libpcap et de libnet de fonctionner.

7.4. Le détecteur promiscueux d'Ethernet de réseau de Neped est un programme UNIX-basé libre à l'origine écrit par le groupe d'Apostols pour détecter à distance les cartes d'interface promiscueuses de réseau de mode sur des ordinateurs de Linux. Il détecte seulement sur un sous-ensemble de systèmes de Linux avec unpatched des grains avant la version 2.0.36. Le site Web d'Apostols plus existe et pas neped peut être difficile à trouver.

7.5. Le mode promiscueux de contrôle (CPM) ceci est un programme UNIX-basé libre développé par CERT/CC en réponse au réseau accru reniflant.

7.6. Ifstatus ceci est un programme UNIX-basé libre pour détecter les interfaces promiscueuses de mode sur des systèmes de Solaris et d'AIX.

7.7. Promisc.c ceci est un programme UNIX-basé libre pour détecter les interfaces promiscueuses de mode sur Linux et quelques systèmes de SunOS.

8. Prévention des renifleurs de paquet

La meilleure manière de vous fixer contre le reniflement est d'employer le chiffrage. Tandis que ce t’gagné empêchent un renifleur de fonctionner, il s'assurera que quel renifleur lit est l'ordure pure.

Heureusement il y a quelques méthodes que vous pouvez employer sur votre réseau qui offrent la protection contre l'attaque passive connue sous le nom de reniflant.

Quelques techniques pour l'empêchement sont :

8.1. PGP et S/MIME

Le E-mail peut être reniflé de beaucoup de manières alternatives. Il traverse les murs à l'épreuve du feu de corporation, qui peuvent surveiller le trafic. Il obtient souvent noté et économisé pendant des périodes prolongées. Il peut obtenir accidentellement mal diriger, et finit vers le haut dans la boîte aux lettres de quelqu'un d'autre. La meilleure manière de garder un tel secret de E-mail est de le chiffrer. Les deux manières communes de faire ceci sont avec PGP (intimité plutôt bonne) et S/MIME (MIME bloqué). Le PGP peut être acheté comme adjonction à beaucoup de produits. S/MIME est construit dans des programmes de E-mail par Netscape et Microsoft.

8.2. Fixez La Coquille (SSH)

SSH est un application-niveau VPN qui les courses TCP fini pour fixer des transactions de client-à-serveur. Ceci est souvent employé pour des ouvertures générales et pour administrer des serveurs à distance. Il est typiquement employé pour remplacer le telnet, le ftp, et les commandes des services “r” de Berkley. Cependant, puisque n'importe quel protocole arbitraire de TCP peut être tunneled par un raccordement de SSH, il peut être employé pour nombreux d'autres applications. SSH fournit l'authentification par des paires principales asymétriques de RSA ou de DSA. Les en-têtes en session de SSH ne sont pas chiffrés, ainsi un intrus pourra toujours regarder la source et les adresses de destination.

8.3. VPNs (Réseaux Privés Virtuels)

VPNs fournissent le trafic chiffré à travers l'Internet. Cependant, si un intrus compromet les extrémité-noeuds d'un raccordement de VPN, ils peuvent encore renifler le trafic. Un scénario typique est un utilisateur qui surfe l'Internet normalement et obtient compromis avec un accès à distance Trojan (RAT) qui contient une connexion de reniflement. Quand l'utilisateur établit le raccordement de VPN, le programme de reniflement peut voir non seulement le trafic chiffré qui peut être vu sur l'Internet, mais également le trafic non codé avant qu'il obtienne envoyé par la pile au VPN.

8.4. Fixez La Couche De Douilles (Sécurité De Couche De SSL)/Transport (TLS)

Le SSL a été à l'origine développé par des Netscape Communications Pour fournir la sécurité et l'intimité aux sessions d'Internet. Il a été remplacé par TLS comme indiqué dans RFC 2246.TLS fournit la sécurité à la couche transport et surmonte quelques titres de SSL. Il est employé encapsulent le trafic de réseau des applications de plus haut niveau telles que LDAP, HTTP, ftp, NNTP, POP3, et IMAP. Il fournit l'authentification et l'intégrité par l'intermédiaire des certificats numériques et des signatures numériques.

8.5. Sécurité d'IP (IPSec)

IPSec est un protocole de réseau-niveau qui incorpore la sécurité à l'IPv4 et IPv6 proclame un protocole directement au niveau de paquet en prolongeant l'en-tête de paquet d'IP. Ceci permet la capacité de chiffrer n'importe quel protocole de couche plus élevé. Il actuellement est incorporé aux dispositifs, aux murs à l'épreuve du feu, et aux clients de cheminement pour fixer les réseaux de confiance à un des autres. IPSEC fournit plusieurs moyens pour l'authentification et le chiffrage, soutenant quelques chiffres principaux publics d'authentification et chiffres principaux symétriques de chiffrage. Il peut fonctionner en mode de tunnel pour fournir un nouvel en-tête d'IP qui masquera la source et les adresses de destination originales.

8.6. Mots de passe jetables (OTP)

Les mots de passe jetables sont une autre méthode à protéger contre le reniflement. S/key, mots de passe jetables dans tout (OPIE), et d'autres techniques jetables de mot de passe se protégeront contre la collection et la réutilisation des mots de passe. Ils fonctionnent en employant une méthode de défier-réponse, et un mot de passe différent est transmis chaque fois que l'authentification est nécessaire. Les mots de passe qu'un renifleur rassemble seront inutiles puisqu'ils sont seulement employés une fois. Les cartes futées sont une méthode populaire de mettre en application la protection jetable de passwords.E-mail est une matière chaude pour des compagnies et des individus. Deux méthodes de protéger le E-mail, en le chiffrant en transit et dans le stockage, sont jolies.

9. Références

• www.securitysoftwaretech.com
• www.robertgraham.com
• www.fernando.org.uk
• www.linuxjournal.com
• http://cs.baylor.edu
• www.tldp.org
• www.zurich.ibm.com
• www.robertgraham.com
• www.linuxsecurity.com

Suhas Un Desai :
Suhas que un Desai fonctionne avec Mahindra Ltd. Pune de technologie comme réalisateur de logiciel. Il est en activité dans la communauté ouverte de source. Il a écrit beaucoup de papiers, articles et dispositifs pour des conférences internationales et nationales réputées, journaux et démarches de recherches. Il écrit des dispositifs pour www.linuxsecurity.com. Dans son temps libre il conduit des conférences, des ateliers pour des professionnels de logiciel et des étudiants.