Divulgation complète

La controverse sur la divulgation publique d'informations sensibles sur les vulnérabilités n'est pas nouvelle. La question de la divulgation complète a d'abord été soulevée dans le contexte de la serrurerie, lors d'une controverse dans la communauté des serruriers au XIX^e siècle concernant la divulgation des faiblesses des systèmes de verrouillage[4].

Aujourd'hui, il existe trois grandes politiques de divulgation dans lesquelles la plupart des autres peuvent être catégorisés : la non-divulgation, la divulgation coordonnée et la divulgation complète[5].

Les politiques de divulgation des principales parties prenantes à la recherche sur la vulnérabilité sont fortement influencées par leurs motivations et leurs intérêts. Il n'est pas rare de voir les divers groupes faire campagne pour promouvoir leur politique et blâmer les promoteurs des autres politiques.

De nombreux chercheurs de premier plan en sécurité favorisent la divulgation complète, alors que la plupart des éditeurs de logiciels préfèrent la divulgation coordonnée. La non-divulgation est généralement favorisée par les fournisseurs d'exploits et les hackers black hat[6].

Les promoteurs de la divulgation coordonnée croient que les éditeurs de logiciels ont le droit de contrôler les informations concernant la vulnérabilité de leurs produits[7].

La règle principale de la divulgation coordonnée est que personne ne devrait être informé d'une vulnérabilité jusqu'à ce que l'éditeur du logiciel donne son autorisation. Bien qu'il existe des exceptions ou des variations de cette politique, la divulgation coordonnée prône que la distribution de l'information sur une vulnérabilité doit d'abord être limitée et les éditeurs doivent bénéficier d'un accès privilégié à cette information.

Les défenseurs de la divulgation coordonnée préfèrent souvent le terme moins descriptif divulgation responsable inventé par Scott Culp, le responsable de la sécurité chez Microsoft, dans son essai It's Time to End Information Anarchy (Il est temps de mettre fin à l'anarchie de l'information) sur la divulgation complète[8]. Microsoft a ensuite demandé que le terme divulgation responsable soit abandonné et remplacé par divulgation coordonnée[9].

De nombreux praticiens estiment que les utilisateurs finaux ne peuvent pas bénéficier de l'accès à des informations sur les vulnérabilités sans conseils ni correctifs de l'éditeur. Conséquemment, les risques que l'information soit exploitée par des acteurs malveillants sont plus grands que les bénéfices que les utilisateurs peuvent en tirer. Comme l'expliquait Microsoft, « la divulgation coordonnée sert les intérêts supérieurs de chacun en veillant à ce que les clients reçoivent des mises à jour complètes et de haute qualité pour les vulnérabilités de sécurité, mais ne soient pas exposés à des attaques malveillantes alors que la mise à jour est en cours de développement »[10].

La divulgation complète est la politique de publication d'informations sur les vulnérabilités sans restrictions le plus tôt possible, ce qui rend l'information accessible au grand public sans restrictions. En général, les promoteurs de la divulgation complète croient que les avantages de la disponibilité des informations sur les vulnérabilités l'emportent sur les risques.

La disponibilité d'informations sur les vulnérabilités permet aux utilisateurs et aux administrateurs de systèmes informatiques de comprendre et de réagir aux vulnérabilités de leurs systèmes et permet aux clients de faire pression sur les fournisseurs pour corriger les vulnérabilités que les vendeurs ne sont pas toujours pressés de résoudre. La divulgation complète peut résoudre certains problèmes fondamentaux de la divulgation coordonnée :

• si les clients ne connaissent pas les vulnérabilités, ils ne peuvent pas demander des correctifs, et les fournisseurs ne ressentent aucune incitation économique pour corriger les vulnérabilités ;
• les administrateurs de systèmes ne peuvent pas prendre de décisions éclairées sur les risques encourus par leurs systèmes, car les informations sur les vulnérabilités sont restreintes ;
• les pirates informatiques qui connaissent les vulnérabilités ont une longue période de temps pour les exploiter.

La découverte d'une vulnérabilité spécifique n'est pas un événement rare et exclusif. De multiples chercheurs ayant des motivations différentes peuvent découvrir les mêmes vulnérabilités indépendamment.

Il n'existe aucun moyen standard de rendre l'information sur la vulnérabilité accessible au public. Les chercheurs utilisent souvent des listes de diffusion consacrées au sujet, des publications scientifiques ou des conférences pour annoncer leurs découvertes.

La non-divulgation est le principe selon lequel aucune information sur une vulnérabilité ne devrait être partagée ou ne devrait être partagée qu'en vertu d'un accord de non-divulgation (contractuellement ou informellement).

Les partisans habituels de la non-divulgation sont les fournisseurs d'exploits commerciaux, les hackers qui ont l'intention d'exploiter les vulnérabilités qu'ils trouvent[5], et les certains éditeurs qui croient que toute information sur les vulnérabilités aide les pirates informatiques.