La Maison Blanche publie une nouvelle charte pour mieux communiquer les vulnérabilités de sécurité

Des experts en technologie et en sécurité ont exigé plus de transparence sur les pratiques du gouvernement américain pour gérer les failles de sécurité dont il a connaissance. Cette demande fait bien sûr suite à la divulgation récente par le groupe Shadow Brokers d’une série d’outils et d’exploits top secrètes de l’Agence de sécurité nationale.

Un peu plus de transparence

L’administration américaine a entendu ces critiques et a publié la semaine passée une nouvelle versions de son processus d’évaluation des vulnérabilités appelé VEP. C’est en effet celui-ci qui régit aujourd’hui l’utilisation et la divulgation des vulnérabilités logicielles que la NSA et d’autres agences gouvernementales pourraient découvrir.

La charte VEP fournit de nouveaux détails sur le processus que le gouvernement utilise pour déterminer s’il faut aviser une entreprise privée d’une faille de sécurité dans ses produits ou services ou pour l’exploiter à des fins de collecte de renseignements et à d’autres fins.

https://www.whitehouse.gov/blog/2017/11/15/improving-and-making-vulnerability-equities-process-transparent-right-thing-do

Transparence vs exploitation

De nombreux experts en cybersécurité défendent le fait que de retenir indistinctement la vulnérabilité et d’exploiter les données des éditeurs IT est extrêmement dangereux. Wannacry en est l’exemple criant en exploitant des failles de type «zero-day» d’EternalBlue issue du vols d’outils d’attaque de la NSA par les Shadow Brokers.

Leur argument : si le gouvernement américain peut trouver ces failles, d’autres, y compris les cybercriminels et les acteurs de l’État-nation, le peuvent aussi.

En théorie, la loi de Kerckhoffs devrait également s’appliquer aux vulnérabilité. La transparence doit idéalement prévaloir sur la sécurité par l’obscurité.

La charte:

Cliquer pour accéder à External%20-%20Unclassified%20VEP%20Charter%20FINAL.PDF

et la fiche descriptive associée:

Cliquer pour accéder à External%20-%20White%20House%20Fact%20Sheet%20on%20VEP%20-%20FINAL%2011152017.PDF

Découvert via cet article:

White House Releases New Charter for Using, Disclosing Security Vulner

Technology experts and others have been demanding greater transparency on the US government’s practices for handling security vulnerabilities that it learns about, especially after the Shadow Brokers group leaked a tranche of top-secret National Security Agency attack tools and exploits last year.

un petit clic pour ma veille

S'incrire à la newsletter

Inscrivez-vous et recevez la synthèse des nouveaux articles directement dans votre boîte aux lettres.

Merci pour votre inscription !

Un erreur s'est produite. Merci d'essayer à nouveau ou utiliser le formulaire disponible dans la barre latérale du site.

Send this to a friend