URL: https://linuxfr.org/news/le-programme-de-google-pour-ameliorer-la-securite-des-logiciels-libres Title: Le programme de Google pour améliorer la sécurité des logiciels libres Authors: patrick_g ZeroHeure, NeoX et rootix Date: 2013年10月11日T10:33:18+02:00 License: CC By-SA Tags: firefox Score: 51 Le 9 octobre dernier Google [a annoncé](http://googleonlinesecurity.blogspot.fr/2013/10/going-beyond-vulnerability-rewards.html) un nouveau programme visant à améliorer la sécurité de plusieurs projets de logiciel libre. Depuis plusieurs années la firme de Mountain View maintient un "[Vulnerability Reward Program](https://www.google.com/about/appsecurity/reward-program/)" qui a pour objet de payer les programmeurs trouvant des bugs de sécurité dans les applications Google. La dernière annonce étend ce programme à plusieurs projets libres qui forment le soubassement technique d'internet (_key third-party software critical to the health of the entire Internet_). Plus de détails dans la suite de la dépêche. ---- [L'annonce du programme "Patch Rewards"](http://googleonlinesecurity.blogspot.fr/2013/10/going-beyond-vulnerability-rewards.html) [Les conditions et la FAQ](https://www.google.com/about/appsecurity/patch-rewards/) [An Empirical Study of Vulnerability Rewards Programs](http://0b4af6cdc2f0c5998459-c0245c5c937c5dedcca3f1764ecc9b2f.r43.cf2.rackcdn.com/12309-sec13-paper_finifter.pdf) ---- Les programmes visant à payer une personne ayant découvert un bug de sécurité (Bug Bounty) sont un grand succès depuis plusieurs années. Un article, issu du symposium USENIX sur la sécurité, et intitulé "[An Empirical Study of Vulnerability Rewards Programs](http://0b4af6cdc2f0c5998459-c0245c5c937c5dedcca3f1764ecc9b2f.r43.cf2.rackcdn.com/12309-sec13-paper_finifter.pdf)", permet de faire le point sur ce sujet. Les auteurs ont étudié en détail le programme de Google pour sécuriser Chrome et le programme Mozilla pour sécuriser Firefox. La lecture de ce papier passionant, bourré de détails, est très éclairante sur les sommes mises en jeu ainsi que les bénéfices retirés par les projets :> _Chrome VRP has cost approximately 580,000ドル over 3 years and has resulted in 501 bounties paid for the identification of security vulnerabilities. The Firefox VRP has cost approximately 570,000ドル over the last 3 years and has yielded 190 bounties._ Google, dans son annonce du 9 octobre souhaite maintenant aller plus loin que Chrome et la société est prête à payer pour améliorer la sécurité d'autres projets que les siens. Ici ce ne sont pas à proprement parler les bugs qui sont recherchés. Google veut récompenser les patchs qui améliorent _structurellement_ la sécurité d'un projet :> _We decided to try something new: provide financial incentives for down-to-earth, proactive improvements that go beyond merely fixing a known security bug. Whether you want to switch to a more secure allocator, to add privilege separation, to clean up a bunch of sketchy calls to strcat(), or even just to enable ASLR - we want to help !_ La liste des projets visés par ce bounty program est la suivante : * Réseau : OpenSSH, BIND, ISC DHCP * Parseurs images : libjpeg, libjpeg-turbo, libpng, giflib * Fondations de Chrome : Chromium, Blink * Bibliothèques sensibles : OpenSSL, zlib * Noyau Linux Dans [l'annonce sur le blog du projet](http://googleonlinesecurity.blogspot.fr/2013/10/going-beyond-vulnerability-rewards.html) il est également indiqué que le programme va par la suite être étendu aux projets suivants : * Serveurs Web : Apache httpd, lighttpd, nginx * Serveurs SMTP : Sendmail, Postfix, Exim * Chaîne de compilation : GCC, binutils, llvm * Réseau : OpenVPN Les récompenses prévues vont de 500 dollars à 3 133,7 dollars et leur attribution est du ressort de l'équipe de sécurité Google. Un point important qui mérite d'être souligné est le fait que Google ne veut pas court-circuiter les projets amonts. En effet un patch de sécurité, pour être admissible au programme "Patch rewards", doit avoir été soumis et accepté par les mainteneurs du projet amont (upstream). Non seulement ça, mais le patch doit avoir été déployé dans une version distribuée par le projet :> _In order to qualify, your patch must first be submitted directly to the maintainers of the project, and you must work with them to have it accepted into the repository and incorporated into a shipping version of the program._ On ne peut que se féliciter de cette annonce du programme "Patch rewards" par Google. L'entreprise a bien compris que la qualité de ses services, et donc en définitive sa santé financière, dépendait du bon fonctionnement de tout un écosystème de logiciels libres. L'incitation à renforcer la sécurité de cet écosystème bénéficiera à tout le monde.

AltStyle によって変換されたページ (->オリジナル) /