Il va falloir que tu m'expliques en parlant lentement : pour quelle raison sans visées illégales cette personne garde secrète ce genre d'info ?
Si c'est un professionnel « propre » de la sécurité, il n'a aucun bénéfice à attendre pour publier. Sinon il risque de se faire doubler, et son CV sera moins bon.
Il faut donc enlever « propre » pour que son attitude soit logique.
Ton commentaire touche à un des points assez sensibles en infosec, qui est le grand débat full disclosure/no disclosure. Beaucoup de chercheurs compétents croient au non disclosure et gardent leurs trouvailles pour eux, au risque de se faire doubler comme tu dis. En résumé, leur raisonnement est le suivant:
- Ils ne sont pas payés pour faire la recherche donc n'ont pas d'obligation de publication
- Les bugs de sécurité sont vu comme des trésors heisenbergiens qui disparaissent lors de la publication. Un exploit 0day, même non partagé, est une sorte de trophée qu'ils conservent précieusement.
- Ils n'ont pas besoin de publier pour étoffer leur CV, partant du principe que le CV ne leur intéresse pas ou qu'ils n'ont pas besoin de publier pour être reconnus
- Le point le plus important: la publication de découvertes de sécurité est une pratique dangereuse. Cela ne s'applique sans doute pas à linux, mais publier en son nom propre (même en suivant les pratiques de "responsible disclosure") expose le chercheur à des ripostes légales. Parfois prendre ce risque gratuitement ne vaut pas le coup.
Vendre des failles de sécurité, c'est la même chose que vendre le code administrateur d'une centrale d'alarme, ou d'une ouverture de porte automobile. Le but est uniquement illégal.
J'ai une opinion différente. Certains hackers considèrent que vendre de l'exploit est non éthique (je pense que sd en fait partie), et préfèrent laisser leur exploit moisir sur le disque dur que le divulguer de cette manière. Quoi qu'il en soit, vendre une faille de sécurité n'est pas similaire à vendre un code d'alarme. C'est vendre la primeur sur un problème de sécurité peut-être connu ailleurs pour laisser une chance aux clients de se protéger à l'avance. Je pense que le raisonnement "vendre des vulnérabilités est forcément illégal" tient du même raisonnement fallacieux que "Si tu utilises de la cryptographie, c'est que tu as des choses illégales à cacher".
Et vu le nombre de vulnérabilités critiques rapportées par ZDI et autres, qui seraient peut-être restées très longtemps non publiées si il n'y avait pas de contrepartie financière, je pense que la monétisation de rapports de vulnérabilité est positif à long terme. Rechercher des vulnérabilités, ça prend du temps et c'est loin d'être gratuit.
[^] # Re: HAHA
Posté par Aris Adamantiadis (site web personnel) . En réponse à la dépêche Root exploit sur les noyaux linux 2.6.38 à 3.8.8. Évalué à 7.
Ton commentaire touche à un des points assez sensibles en infosec, qui est le grand débat full disclosure/no disclosure. Beaucoup de chercheurs compétents croient au non disclosure et gardent leurs trouvailles pour eux, au risque de se faire doubler comme tu dis. En résumé, leur raisonnement est le suivant:
- Ils ne sont pas payés pour faire la recherche donc n'ont pas d'obligation de publication
- Les bugs de sécurité sont vu comme des trésors heisenbergiens qui disparaissent lors de la publication. Un exploit 0day, même non partagé, est une sorte de trophée qu'ils conservent précieusement.
- Ils n'ont pas besoin de publier pour étoffer leur CV, partant du principe que le CV ne leur intéresse pas ou qu'ils n'ont pas besoin de publier pour être reconnus
- Le point le plus important: la publication de découvertes de sécurité est une pratique dangereuse. Cela ne s'applique sans doute pas à linux, mais publier en son nom propre (même en suivant les pratiques de "responsible disclosure") expose le chercheur à des ripostes légales. Parfois prendre ce risque gratuitement ne vaut pas le coup.
J'ai une opinion différente. Certains hackers considèrent que vendre de l'exploit est non éthique (je pense que sd en fait partie), et préfèrent laisser leur exploit moisir sur le disque dur que le divulguer de cette manière. Quoi qu'il en soit, vendre une faille de sécurité n'est pas similaire à vendre un code d'alarme. C'est vendre la primeur sur un problème de sécurité peut-être connu ailleurs pour laisser une chance aux clients de se protéger à l'avance. Je pense que le raisonnement "vendre des vulnérabilités est forcément illégal" tient du même raisonnement fallacieux que "Si tu utilises de la cryptographie, c'est que tu as des choses illégales à cacher".
Et vu le nombre de vulnérabilités critiques rapportées par ZDI et autres, qui seraient peut-être restées très longtemps non publiées si il n'y avait pas de contrepartie financière, je pense que la monétisation de rapports de vulnérabilité est positif à long terme. Rechercher des vulnérabilités, ça prend du temps et c'est loin d'être gratuit.