Responsible Disclosure

Définition

La divulgation responsable (Responsible Disclosure) est l'approche éthique par laquelle un chercheur en sécurité notifie privément l'éditeur ou le responsable d'un système vulnérable avant de rendre publique l'information sur la vulnérabilité découverte. L'objectif est de permettre le développement et le déploiement d'un correctif avant que des acteurs malveillants ne puissent exploiter la faille. Le processus de divulgation responsable repose sur un accord tacite (ou formalisé dans un programme de Bug Bounty) entre le chercheur et l'éditeur : le chercheur s'engage à ne pas divulguer publiquement pendant un délai raisonnable, et l'éditeur s'engage à corriger la vulnérabilité dans ce délai et à reconnaître (publiquement ou via une récompense) la contribution du chercheur. La durée standard de ce délai varie selon les organisations : Google Project Zero applique 90 jours (extensibles de 14 jours si un correctif est en cours), Microsoft publie ses correctifs le Patch Tuesday mensuel et négocie les délais avec les chercheurs, et certaines vulnérabilités critiques peuvent bénéficier d'un patch d'urgence en 24-48 heures. L'ANSSI recommande un délai maximum de 45 jours pour les systèmes critiques. La divulgation responsable protège toutes les parties : les utilisateurs finaux bénéficient d'un correctif avant l'exposition publique, l'éditeur peut gérer la communication de crise, et le chercheur se protège légalement en démontrant sa bonne foi. En France, la loi Informatique et Libertés et le code pénal peuvent potentiellement s'appliquer aux chercheurs qui accèdent à des systèmes tiers même à des fins de recherche, d'où l'importance d'un cadre légal clair. La France a progressé sur ce sujet avec la reconnaissance légale de la recherche de bonne foi par l'ANSSI et la mise en place d'un cadre permettant aux chercheurs de reporter des vulnérabilités sur des systèmes critiques sans risque juridique immédiat. La directive NIS 2 encourage les États membres à établir des politiques de divulgation coordonnée au niveau national. Les plateformes de Bug Bounty comme HackerOne, Bugcrowd et YesWeHack (française) formalisent et facilitent ce processus en fournissant un cadre contractuel, des mécanismes de paiement sécurisés, et une médiation en cas de désaccord entre chercheurs et éditeurs.