Le Zero Day, une vulnérabilité de plus en plus préoccupante pour les entreprises

Zero Day1La menace Zero-Day est de plus en plus présente pour les acteurs économiques du fait de leur hyper-connectivité.

Les zero-day, failles inconnues des fabricants de logiciel et qui n’ont pas été encore rendues publiques, sont devenues l’objet d’un véritable marché tant les enjeux sont élevés. L’entreprise Zerodium a récemment promis un million d’euros à la personne qui trouvera la faille information dans le nouveau système d’Apple, le iOS9.

Le Monde explique que cette jeune entreprise (émanation de Vupen, société française) sur le marché de la sécurité informatique est spécialisée sur les failles Zero-day « qu’elle achète à des hackers, puis revend le plus souvent de grandes agences de renseignement occidentales qui cherchent un moyen d’espionner leurs cibles – Vupen, puis Zerodium, ont affirmé ne pas travailler avec des régimes autoritaires. » Le quotidien ajoute que « la somme d’un million de dollars est sans précédent, mais montre bien la valeur de ce type de faille dans un monde surconnecté. Une vulnérabilité zero day est une faille logicielle qui n’a pas encore été découverte par le fabriquant. « Elle peut ensuite être exploitée avant que le fabriquant ne s’en rende compte et la corrige en urgence. Cette attaque est alors nommée attaque zero day », selon les termes de l’entreprise de sécurité Symantec. « Il n’existe quasiment aucune défense contre une attaque zero day », expliquaient deux chercheurs des laboratoires de l’entreprise dans une étude publiée en 2012. »

« Pour certains, ces marchands de failles critiques s’apparentent aux seigneurs de la guerre des temps modernes. En s’adonnant à ces pratiques, ils ne font pas que vendre des vulnérabilités, mais vendent également les balles de la cyberguerre. Pour d’autres par contre, c’est l’impérieuse réalité qu’impose la généralisation des connaissances. Ainsi, il serait juste de pouvoir tirer profit d’une manière ou d’une autre de ses talents, quitte à le faire au détriment de la communauté. » indique le site Developpez.com.

L’article du Monde indique par ailleurs que « les fournisseurs de logiciels, qui n’ont ni intérêt à laisser des failles sans correction ni à ce qu’elles atterrissent dans de mauvaises mains, peuvent aussi avoir une attitude proactive. Ainsi, de nombreuses entreprises proposent des « Bounty Programs », à savoir un système de prime pour tout personne signalant discrètement une vulnérabilité sérieuse et vérifiée. »

Publicités