Des experts en technologie et en sécurité ont exigé plus de transparence sur les pratiques du gouvernement américain pour gérer les failles de sécurité dont il a connaissance. Cette demande fait bien sûr suite à la divulgation récente par le groupe Shadow Brokers d’une série d’outils et d’exploits top secrètes de l’Agence de sécurité nationale.
Un peu plus de transparence
L’administration américaine a entendu ces critiques et a publié la semaine passée une nouvelle versions de son processus d’évaluation des vulnérabilités appelé VEP. C’est en effet celui-ci qui régit aujourd’hui l’utilisation et la divulgation des vulnérabilités logicielles que la NSA et d’autres agences gouvernementales pourraient découvrir.
La charte VEP fournit de nouveaux détails sur le processus que le gouvernement utilise pour déterminer s’il faut aviser une entreprise privée d’une faille de sécurité dans ses produits ou services ou pour l’exploiter à des fins de collecte de renseignements et à d’autres fins.
https://www.whitehouse.gov/blog/2017/11/15/improving-and-making-vulnerability-equities-process-transparent-right-thing-do
Transparence vs exploitation
De nombreux experts en cybersécurité défendent le fait que de retenir indistinctement la vulnérabilité et d’exploiter les données des éditeurs IT est extrêmement dangereux. Wannacry en est l’exemple criant en exploitant des failles de type «zero-day» d’EternalBlue issue du vols d’outils d’attaque de la NSA par les Shadow Brokers.
Leur argument : si le gouvernement américain peut trouver ces failles, d’autres, y compris les cybercriminels et les acteurs de l’État-nation, le peuvent aussi.
En théorie, la loi de Kerckhoffs devrait également s’appliquer aux vulnérabilité. La transparence doit idéalement prévaloir sur la sécurité par l’obscurité.
La charte:
Cliquer pour accéder à External%20-%20Unclassified%20VEP%20Charter%20FINAL.PDF
et la fiche descriptive associée:
Découvert via cet article:
White House Releases New Charter for Using, Disclosing Security Vulner
Updated Vulnerability Equities Process provides transparency into how government will handle new vulnerabilities that it discovers in vendor products and servic
