Le Full Disclosure qui consiste a réveler au grand public une faille ou un exploit dans un logiciel est d’utilité publique. En effet, lorsque les chercheurs en sécurité découvre une de ces failles, la première chose qu’ils font, c’est prévenir l’éditeur du logiciel. Ensuite, le chercheur publie ses travaux sur le net, sans attendre spécialement que l’éditeur corrige (ou pas) la faille.
Dans un monde sans Full Disclosure, le chercheur aurait communiqué de la même manière la faille découverte à l’éditeur du logiciel concerné et …. plus rien ! Enfin si… le gentil chercheur devrait attendre que l’éditeur corrige sa faille avant de pouvoir en parler publiquement. Cela s’appelle le Responsible Disclosure. Et justement, l’éditeur n’ayant pas la pression de voir cette faille révélée au grand public, ne se pressera pas pour la corriger ou pire, ne prendra même pas la peine de le faire, laissant les utilisateurs livrés à eux-même face à d’éventuels crackers qui exploiteraient aussi cette faille.
Le Full Disclosure est donc indispensable car c’est un formidable moyen de pression pour que les éditeurs de logiciels fassent des softs propres (ou qui au moins sont corrigés rapidement) C’est d’ailleurs ce genre de pratiques qui a poussé Microsoft (au bout de quelques années j’avoue) a être super réactif pour ses mises à jours (via Windows Update par exemple).
Seul hic, suite à un jugment rendu par le tribunal de Montpellier, le FullDisclosure est illégal. La faute à l’article 323-3-1 du code pénal qui je cite : « Réprime le mise à disposition d’équipement, d’instrument ou de programme informatique conçus ou adaptés pour commettre des atteintes aux systèmes de traitement automatisé des données »
Du coup, c’est le boxon dans la communauté des chercheurs en sécurité qui se demande vraiment où tout cela va les mener. Une chose est sûre, l’entrée dans l’illégalité du FullDisclosure ne servira pas les intérêts du consommateur final…
Ouin.