REVUE

dossier
« BuG BounTy ProGrAm » : L'AVènEmEnT DES PLATES-FormES EuroPéEnnES
élément fondamental : la confiance.
En avril 2016, le programme "Hack the
PEnTAGon" est lancé, impulsé par le
département de la défense numérique
Américain en collaboration avec la plateforme
HACKEronE. Plus de 1000
chasseurs de bugs se sont attardés sur
les infrastructures gouvernementales,
découvrant de nombreuses vulnérabilités.
En complément des applications
standards de sécurité des systèmes et
des audits, les "Bug Bounty Programs"
sont une réponse originale et
pragmatique à la montée en complexité
des attaques et à la créativité des
cybercriminels. Apprécié des hackers, le
« Bug Bounty Programs » est un système
méritocratique et pérenne. Les « Bug
Bounty Programs» offrent une
récompense à tous ceux qui trouvent des
failles de sécurité dans un périmètre
donné de leur système informatique. Ils
sont soumis à un budget global réparti
par l’entreprise sponsor ou son
intermédiaire en fonction de critères
objectifs et subjectifs d’appréciation.
Plus la faille est critique, complexe, bien
documentée avec si possible un « Proof
of Concept », des recommandations,
voire un patch, plus la récompense sera
élevée.
Les entreprises souhaitant recourir à cette
pratique fixent le plus souvent les
conditions dans lesquelles doit s’exercer
la recherche de failles et définissent
notamment :
• le périmètre d’action, certains
programmes limitant la recherche de faille
à un logiciel précis, une application ou à
certains sites internet ;
• le type de failles ouvrant droit à
rémunération. Il peut s’agir d’identifier une
faille affectant la confidentialité ou
l’intégrité des données des utilisateurs
n’ayant jamais été repérée ou d’un simple
bug;
• la durée du Bug Bounty program : le
plus souvent la période de test étant
enfermée dans un délai précis avec des
dates d’ouverture et de fermeture;
• des règles de confidentialité : les Bug
Bounty program insistent sur la nécessité
de ne pas révéler la faille au public ou à
des tiers avant qu’elle ne soit réparée;
• des règles de protection des données
personnelles : lorsque les Bug Bounty
program concernent des sociétés en
possession de données à caractère
personnel (ex : Facebook, Google),
l’exigence éthique est renforcée vis-à-vis
des auditeurs. Ainsi, Facebook ou Google
précisent dans leurs conditions
l’obligation d’effectuer des tests via des
comptes spécialement créés à cet effet
ou d’obtenir l’accord explicite du
propriétaire du compte sur lequel sont
effectués les tests ;
• des règles de conflit de lois : certains
programmes précisent la juridiction
compétente dans l’éventualité d’un conflit
(par exemple, le Bug Bounty program
4 e trimestre 2016 Revue de la Gendarmerie Nationale
83