Éthique, divulgation responsable et aspects juridiques

La recherche éthique en sécurité améliore la sécurité de tous. Le principe fondamental est le suivant : n’évaluez que les systèmes pour lesquels vous êtes autorisé à intervenir. L’autorisation découle d’un périmètre écrit dans les programmes de primes aux vulnérabilités, d’une permission écrite et explicite des propriétaires des actifs ou de la propriété des actifs eux-mêmes.

La CVD est le processus qui consiste à signaler en privé une vulnérabilité au fournisseur concerné, afin de lui laisser le temps de développer et de publier une correction avant la divulgation publique. La norme de 90 jours (Google Project Zero) équilibre le temps nécessaire au fournisseur pour corriger la vulnérabilité et les droits de divulgation du chercheur.

La CFAA des US fait de l’accès non autorisé à un ordinateur une infraction fédérale. Le terme « autorisation » est interprété largement : même si un système est accessible au public, y accéder sans permission peut constituer une violation de la CFAA. Les garanties de sécurité juridique des programmes de primes sont votre principale protection juridique.

Accéder à des données personnelles appartenant à des tiers ou les stocker pendant une recherche en sécurité peut constituer une violation du GDPR (EU) et de lois similaires sur la protection des données. Limitez l’accès aux données à ce qui est nécessaire pour prouver la vulnérabilité. Ne téléchargez pas, ne copiez pas et ne conservez pas de PII d’utilisateurs.

Si un fournisseur ignore vos rapports après 90 jours : envoyez un dernier avertissement assorti d’une nouvelle échéance, informez la plateforme (HackerOne, Bugcrowd) afin qu’elle joue un rôle de médiation et envisagez une divulgation limitée dont les détails techniques sont masqués. Documentez toutes vos tentatives de contact avec leurs horodatages afin de vous protéger juridiquement.

Ne publiez le code de preuve de concept qu’après la publication d’un correctif par le fournisseur et après avoir laissé aux utilisateurs le temps de le mettre à jour. Les PoCs transformées en outils d’attaque pour des vulnérabilités non corrigées facilitent l’exploitation à grande échelle et nuisent aux utilisateurs réels. Les chercheurs responsables choisissent soigneusement le moment de la divulgation.

Si vous découvrez des identifiants, des PII ou d’autres données sensibles pendant votre recherche : documentez-les de façon minimale pour le rapport, n’y accédez pas au-delà de ce qui prouve la vulnérabilité, ne téléchargez pas de données en masse et signalez rapidement le problème. Accéder à des données supplémentaires au-delà de la preuve de concept est contraire à l’éthique et potentiellement illégal.

Les lois varient selon les pays : loi UK sur l’utilisation abusive des ordinateurs, directive NIS2 de l’EU, loi australienne sur la cybercriminalité. Les infrastructures critiques (hôpitaux, réseaux électriques) peuvent faire l’objet d’interdictions supplémentaires en matière d’évaluation. Comprenez le cadre juridique de votre territoire comme celui du fournisseur.

L’évaluation des systèmes d’intelligence artificielle et d’apprentissage automatique soulève des questions particulières : extraction de modèle, génération d’entrées adversariales et attaques visant la confidentialité des données d’entraînement. Ces techniques peuvent enfreindre les règles du programme ou le droit de la propriété intellectuelle, même si le modèle sous-jacent est par ailleurs inclus dans le périmètre.

Cadre d’éthique personnelle : (1) Suis-je autorisé à agir ? (2) Est-ce que je réduis les préjudices au minimum ? (3) Est-ce que je protège les données des utilisateurs concernés ? (4) Est-ce que je respecte les normes de divulgation ? (5) Mes actions résisteraient-elles à l’examen public ? Répondez oui à toutes ces questions avant de poursuivre.

Des organisations telles que le Coders Rights Project de l’EFF fournissent des ressources de défense juridique aux chercheurs en sécurité agissant de bonne foi. Les lignes directrices de DEF CON sur la divulgation des vulnérabilités et le programme Internet Bug Bounty représentent des normes communautaires qu’il est important de comprendre et de suivre.

Quel est le délai standard de divulgation coordonnée des vulnérabilités (CVD) avant la divulgation publique ?

La recherche éthique en sécurité exige une autorisation explicite, un accès minimal aux données, une gestion responsable des résultats sensibles et une divulgation coordonnée qui respecte à la fois la sécurité des utilisateurs et les droits des chercheurs. Comprendre le CFAA, le GDPR et les normes de divulgation protège simultanément les chercheurs et le public.