10 000 dollars par faille critique découverte dans Windows
Quarterly Hacking Challenge, voilà résumé en trois mots le programme lancé par iDefense, une filiale de Verisign. Cette manifestation a donc pour objectif d’offrir 10 000 dollars à celle ou celui qui aura trouvé une vulnérabilité dans l’un des systèmes Microsoft. Seules contraintes : la vulnérabilité doit paraître dans le Microsoft Security Bulletin avec un rang de type « critique ». On consultera l'annonce sur la page d'iDefense.
Outre la rémunération des découvreurs de failles, l’initiative assure d’une certaine manière l'incitation au full disclosure "responsable", tout en offrant à l’organisateur une opération de communication planétaire, à moindres frais. D’autres estiment que ce système de rançon nuit au contraire à la responsabilité des découvreurs de failles, polluant leur activité avec un côté financier bien étranger à leur quête. De même, inciter certains à tester la solidité des serveurs et systèmes à tour de bras en faisant plus ou moins n'importe quoi, est toujours un peu risqué. Ce programme liant business et sécurité est en tout cas ouvert jusqu’au 31 mars 2006. Au-delà, d’autres concours interviendront, comme dans le passé.
Versign avait racheté iDefense cet été. Le gestionnaire américain des .Net et .Com avait accepté de payer 40 millions de dollars dans cette transaction. iDefense profite d'une armée de 200 contributeurs occasionnels sur une trentaine de pays, qui a toujours été motivée par la carotte monétaire, placée devant leur nez par iDefense. On notera que cet été, la société 3com avait initié un programme similaire, le Zero Day Initiative, rétribuant avec de juteux dollars les découvreurs de failles informatiques. La fondation Mozilla offre elle 500$ et un t-shirt pour une cause similaire dans les produits maison.
