La Maison Blanche publie une nouvelle charte pour mieux communiquer les vulnérabilités de sécurité Plus de transparence pour une meilleure sécurité

Déroulez ici

Des experts en technologie et en sécurité ont exigé plus de transparence sur les pratiques du gouvernement américain pour gérer les failles de sécurité dont il a connaissance. Cette demande fait bien sûr suite à la divulgation récente par le groupe Shadow Brokers d’une série d’outils et d’exploits top secrètes de l’Agence de sécurité nationale.

Un peu plus de transparence

L’administration américaine a entendu ces critiques et a publié la semaine passée une nouvelle versions de son processus d’évaluation des vulnérabilités appelé VEP. C’est en effet celui-ci qui régit aujourd’hui l’utilisation et la divulgation des vulnérabilités logicielles que la NSA et d’autres agences gouvernementales pourraient découvrir.

La charte VEP fournit de nouveaux détails sur le processus que le gouvernement utilise pour déterminer s’il faut aviser une entreprise privée d’une faille de sécurité dans ses produits ou services ou pour l’exploiter à des fins de collecte de renseignements et à d’autres fins.

https://www.whitehouse.gov/blog/2017/11/15/improving-and-making-vulnerability-equities-process-transparent-right-thing-do

Transparence vs exploitation

De nombreux experts en cybersécurité défendent le fait que de retenir indistinctement la vulnérabilité et d’exploiter les données des éditeurs IT est extrêmement dangereux. Wannacry en est l’exemple criant en exploitant des failles de type «zero-day» d’EternalBlue issue du vols d’outils d’attaque de la NSA par les Shadow Brokers.

Leur argument : si le gouvernement américain peut trouver ces failles, d’autres, y compris les cybercriminels et les acteurs de l’État-nation, le peuvent aussi.

En théorie, la loi de Kerckhoffs devrait également s’appliquer aux vulnérabilité. La transparence doit idéalement prévaloir sur la sécurité par l’obscurité.

La charte:

No Title

No Description

et la fiche descriptive associée:

No Title

No Description

Découvert via cet article:

White House Releases New Charter for Using, Disclosing Security Vulnerabilities

Updated Vulnerability Equities Process provides transparency into how government will handle new vulnerabilities that it discovers in vendor products and services. Technology experts and others have been demanding greater transparency on the US government’s practices for handling security vulnerabilities that it learns about, especially after the Shadow Brokers group leaked a tranche of top-secret National Security Agency attack tools and exploits last year.

Laisser un commentaire

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.