Teknik - De Nessus à Bromure (SSTIC) - Parce que... c'est l'épisode 0x31D! — PolySécure Podcast

Teknik - De Nessus à Bromure (SSTIC) - Parce que... c'est l'épisode 0x31D!

PolySécure Podcast · 16/07/2026 04:00 · 35 min
Informatique

Contenu de l'épisode

Parce que… c’est l’épisode 0x31D! Shameless plug Description

De Nessus à Tenable : les débuts d’une légende

Dans cet épisode spécial de Polysécure, l’animateur reçoit Renaud Deraison, créateur de Nessus, le scanner de vulnérabilités développé il y a près de 30 ans, et cofondateur de Tenable où il a occupé le poste de CTO jusqu’à son départ il y a environ cinq ans.

Deraison raconte la genèse de Nessus : à 16 ans, passionné par le réseau internet naissant, il découvre l’univers de la sécurité informatique à une époque où les failles étaient publiées sur la mailing list Bugtraq, suivie par une communauté restreinte d’environ 20 000 abonnés. Insatisfait des outils existants comme Satan, jugés trop complexes et peu accessibles, il développe Nessus en 1998 avec une cinquantaine de tests de sécurité au départ. Le succès est immédiat et inattendu, poussant Deraison à poursuivre le projet, d’abord en open source, puis en produit commercial via Tenable, qui étendra la portée de l’outil de la simple DMZ à l’ensemble de l’infrastructure numérique des entreprises.

Le retour à la technique et la leçon de l’éloignement du clavier

Un thème central de la discussion est l’importance de rester connecté à la pratique technique concrète. Deraison explique qu’en grandissant chez Tenable, il a dû délaisser le code pour devenir « plus stratégique », perdant ainsi une compréhension viscérale de la technologie au profit d’une compréhension purement intellectuelle. Il souligne l’écart immense, en cybersécurité, entre comprendre un concept en théorie et l’expérimenter réellement : c’est en manipulant les outils qu’on découvre les vrais problèmes de sécurité et les idées de produits pertinentes.

Cette réflexion mène à une critique plus large de l’industrie de la cybersécurité, jugée parfois arrogante et déconnectée du vécu des utilisateurs, prompte à distribuer des leçons sans empathie pour les contraintes opérationnelles réelles (comme l’impossibilité de patcher immédiatement une machine critique sans interrompre un service).

Bromure : le navigateur jetable réinventé

Après son départ de Tenable, Deraison reprend goût au code, épaulé par les assistants IA, en commençant par ChatGPT puis Claude. L’élément déclencheur d’un nouveau projet est presque anecdotique : recevant de nombreux SMS frauduleux (offres de crédit douteuses, généré désormais dans un français impeccable et localisé grâce à l’IA), il souhaite savoir qui se cache derrière ces arnaques sans s’exposer lui-même.

Il se remémore alors Bromium, une entreprise des années 2010 qui isolait Internet Explorer dans un hyperviseur, avec l’idée qu’il était inutile de patcher puisqu’il suffisait de fermer et rouvrir un environnement neuf en cas de compromission. Inspiré par ce concept, Deraison développe Bromur (bromur.io), un navigateur jetable pour Mac fonctionnant sous Linux dans une VM, avec une expérience utilisateur quasi native : glisser-déposer de fichiers entre le Mac et la VM, support webcam, contrôle fin des téléchargements et téléversements. Une version serveur permet aussi de faire travailler des contractants externes dans un environnement streamé et surveillé, où impression, captures d’écran et téléchargements peuvent être bloqués.

Le projet intègre également un module (désactivé par défaut) utilisant un LLM pour analyser les pages visitées et détecter le phishing, en repérant par exemple des incohérences entre le contenu affiché et l’URL réelle, ou des tromperies visuelles comme l’usage de caractères d’un autre alphabet imitant des lettres latines. Deraison estime que le phishing reste un vaste chantier négligé par l’industrie, qui se contente trop souvent de solutions de formation jugées insuffisantes face à des attaques de plus en plus sophistiquées, y compris par deepfake vidéo.

Bromure Agentic : sécuriser les développeurs sans les freiner

Le second volet du projet, Bromure Agentic, s’attaque aux attaques de la chaîne d’approvisionnement logicielle (supply chain attacks), un risque majeur lorsqu’un package npm ou Python compromis vole les clés SSH, tokens d’a

Plus d'informations