Careers
Join a deep-tech team building sovereign biometric identity.
Offensive Security & Product Audit Engineer (M/F)
Reports to: Head of Security
Context
GripID is a deep-tech company specialized in security, digital identity and biometrics technologies. We design and develop solutions combining secure hardware, biometrics, cybersecurity, blockchain and software, with the goal of securing identification, authentication and the exchange of sensitive data.
Our products combine biometric sensors and devices, embedded systems, secure elements, applications, back-end services and cryptographic technologies. They are intended for demanding environments, notably in the banking, government and regulated sectors.
As part of the development and certification of our products, we are looking for a hands-on security profile, able to work across our whole technology chain, from embedded hardware to applications, services and infrastructure.
Responsibilities
- Carry out security audits and penetration tests across all our products: embedded hardware and systems, firmware, web and mobile applications, APIs, back-end and infrastructure.
- Identify, exploit and analyze vulnerabilities and assess their impact.
- Write clear, actionable audit reports: vulnerabilities, risk level, evidence, recommendations and remediation plans.
- Support the teams in fixing vulnerabilities and verify the effectiveness of corrective measures.
- Take part in preparing and supporting the security evaluations and certifications of our products, notably under Common Criteria.
- Prepare and carry out security assessments ahead of external audits and contribute to technical exchanges with evaluation laboratories.
- Contribute to secure development: code review, dependency analysis and integration of security into the software development and production chain.
- Take part in handling reported vulnerabilities and in the continuous improvement of product security.
- Keep watch on new vulnerabilities, attack techniques and evaluation methods.
- Coach the technical teams and help them build skills on security best practices and the vulnerabilities identified.
Required skills
- Proven experience in penetration testing and security auditing.
- Mastery of web, mobile, API and infrastructure pentesting.
- Experience in the security of embedded systems and connected objects: firmware, radio protocols, notably BLE.
- Reverse engineering skills.
- Mastery of recognized methodologies and frameworks, notably OWASP.
- Ability to analyze a vulnerability, demonstrate its exploitability and assess its impact.
- Ability to present audit results to technical and non-technical audiences.
- Professional English.
Appreciated skills
- Hardware attacks: fault injection, debug interfaces, analysis of protection mechanisms.
- Smart card and secure element security.
- Experience of product security evaluations and certifications, notably Common Criteria.
- Experience in DevSecOps and securing CI/CD pipelines.
- Knowledge of cryptography, PKI and key management.
- Experience in writing files or reports for security evaluations.
- Experience in training or coaching technical teams.
Ingénieur Sécurité Offensive & Audit Produit (H/F)
Rattachement : Responsable Sécurité
Contexte
GripID est une entreprise deep-tech spécialisée dans les technologies de sécurité, d’identité numérique et de biométrie. Nous concevons et développons des solutions combinant matériel sécurisé, biométrie, cybersécurité, blockchain et logiciels, avec pour objectif de sécuriser l’identification, l’authentification et les échanges de données sensibles.
Nos produits associent notamment capteurs et dispositifs biométriques, systèmes embarqués, éléments sécurisés, applications, services back-end et technologies cryptographiques. Ils sont destinés à des environnements exigeants, notamment dans les secteurs bancaire, gouvernemental et réglementé.
Dans le cadre du développement et de la certification de nos produits, nous recherchons un profil sécurité hands-on, capable d’intervenir sur l’ensemble de notre chaîne technologique, du matériel embarqué jusqu’aux applications, services et infrastructures.
Missions
- Réaliser des audits de sécurité et des tests d’intrusion sur l’ensemble de nos produits : matériel et systèmes embarqués, firmware, applications web et mobiles, API, back-end et infrastructure.
- Identifier, exploiter et analyser les vulnérabilités et évaluer leur impact.
- Rédiger des rapports d’audit clairs et exploitables : vulnérabilités, niveau de risque, preuves, recommandations et plans de remédiation.
- Accompagner les équipes dans la correction des vulnérabilités et vérifier l’efficacité des mesures correctives.
- Participer à la préparation et à l’accompagnement des évaluations et certifications de sécurité de nos produits, notamment dans le cadre des Common Criteria (Critères Communs).
- Préparer et réaliser des évaluations de sécurité en amont des audits externes et contribuer aux échanges techniques avec les laboratoires d’évaluation.
- Contribuer à la sécurité du développement : revue de code, analyse des dépendances et intégration de la sécurité dans la chaîne de développement et de production logicielle.
- Participer au traitement des vulnérabilités signalées et à l’amélioration continue de la sécurité des produits.
- Assurer une veille sur les nouvelles vulnérabilités, techniques d’attaque et méthodes d’évaluation.
- Accompagner et faire monter en compétence les équipes techniques sur les bonnes pratiques de sécurité et les vulnérabilités identifiées.
Compétences requises
- Expérience confirmée en tests d’intrusion et en audit de sécurité.
- Maîtrise du pentest web, mobile, API et infrastructure.
- Expérience en sécurité des systèmes embarqués et des objets connectés : firmware, protocoles radio, notamment BLE.
- Compétences en reverse engineering.
- Maîtrise des méthodologies et référentiels reconnus, notamment OWASP.
- Capacité à analyser une vulnérabilité, démontrer son exploitabilité et évaluer son impact.
- Capacité à restituer les résultats d’un audit à des interlocuteurs techniques comme non techniques.
- Anglais professionnel.
Compétences appréciées
- Attaques matérielles : injection de fautes, interfaces de débogage, analyse des mécanismes de protection.
- Sécurité des cartes à puce et des éléments sécurisés.
- Expérience des évaluations et certifications de sécurité produit, notamment Common Criteria.
- Expérience en DevSecOps et sécurisation des chaînes CI/CD.
- Connaissances en cryptographie, PKI et gestion des clés.
- Expérience dans la rédaction de dossiers ou rapports destinés à des évaluations de sécurité.
- Expérience dans la formation ou l’accompagnement d’équipes techniques.