Vulnerability Disclosure

Définition

La divulgation de vulnérabilité (Vulnerability Disclosure) désigne le processus par lequel un chercheur en sécurité ou une organisation informe les parties concernées de l'existence d'une faille de sécurité dans un produit ou service. La manière dont cette divulgation est gérée — par le découvreur et par l'éditeur concerné — a des implications majeures sur la sécurité des utilisateurs finaux. Trois approches principales coexistent. La divulgation complète (Full Disclosure) consiste à publier immédiatement et publiquement tous les détails de la vulnérabilité, sans attendre de correctif. Cette approche controversée, défendue par certains chercheurs, force les éditeurs à réagir rapidement sous pression publique mais expose les utilisateurs pendant la fenêtre de non-correctif. La divulgation non-responsable désigne les découvertes publiées ou vendues à des acteurs malveillants sans notification de l'éditeur. La divulgation responsable (Responsible Disclosure) et la divulgation coordonnée de vulnérabilité (CVD — Coordinated Vulnerability Disclosure, standardisée par l'ISO/IEC 29147) sont les approches recommandées. Elles impliquent une notification privée de l'éditeur avant toute publication publique, avec un délai raisonnable (généralement 90 jours) pour développer et déployer un correctif. Le cadre temporel de 90 jours a été popularisé par Google Project Zero. Ce délai constitue un équilibre entre le temps nécessaire à l'éditeur pour corriger la vulnérabilité et la pression nécessaire pour éviter que les corrections ne soient indéfiniment différées. À l'expiration du délai, Project Zero publie les détails de la vulnérabilité même si aucun correctif n'est disponible. Les Bug Bounty programs institutionnalisent la divulgation responsable en offrant des récompenses financières aux chercheurs qui reportent de manière responsable. Les plateformes HackerOne, Bugcrowd et Intigriti facilitent ces programmes pour des centaines d'organisations, créant un écosystème économique autour de la recherche de vulnérabilités éthique. En France, l'ANSSI a publié un guide de la divulgation coordonnée qui précise le cadre légal et les bonnes pratiques pour les chercheurs français. La loi française reconnaît désormais la recherche de vulnérabilités réalisée de bonne foi dans un cadre de divulgation responsable comme une activité légitime.