Sécurité IT : Project Zero de Google relâche un peu la pression

Le Project Zero vient d’assouplir sa politique de révélation des failles de sécurité informatique non corrigées et potentiellement exploitables.

Jusqu’alors, cette équipe de chercheurs – constituée en juillet 2014 par Google – laissait 90 jours aux éditeurs pour publier des correctifs lorsqu’elle découvrait une vulnérabilité dans un logiciel. Passé ce délai, la faille était rendue publique, preuve à l’appui, afin d’accélérer le développement de patchs… et d’améliorer la sécurité de l’utilisateur final.

La durée de rétention de l’information sera désormais de 104 jours : elle a été rallongée de deux semaines, en conformité avec la nouvelle politique du Project Zero, énoncée vendredi dernier dans une contribution blog.

Autre nouveauté : les failles ne seront plus divulguées la veille d’un jour non ouvré, c’est-à-dire le week-end et les jours fériés aux Etats-Unis. Les chercheurs attendront le prochain jour travaillé.

Google vérifiera par ailleurs que les CVE (la norme permettant d’assigner une référence unique à chaque faille de sécurité) auront bien été préalablement assignées aux vulnérabilités dépassant la période de rétention de l’information. Une manière d’éviter toute confusion.

Des pratiques ont provoqué l’ire de Microsoft en début d’année, lorsque Google avait fait la lumière sur une faille juste avant la mise à disposition du correctif dans le cadre du Patch Tuesday de janvier.

Irritée, la firme de Redmond avait appelé à une « meilleure synchronisation » des efforts entre chercheurs et éditeurs, ainsi qu’à davantage de concertations sur les stratégies de protection. Elle accueille favorablement la nouvelle politique du Project Zero, mais dit y rester « globalement opposée ».

Responsable du Microsoft Security Response Center (MSRC), Chris Betz explique : « Nous sommes en désaccord avec les délais arbitraires, car chaque problème de sécurité est unique ; la période de mise à jour et de test varie« . Pour lui, si l’on révèle une faille avant la publication du correctif, les risques qui pèsent sur les utilisateurs « sont décuplés ».

Comme le souligne Silicon.fr, Microsoft feint d’oublier que ces délais de divulgation ont justement pour objet de pousser les éditeurs à accélérer leurs développements pour corriger les vulnérabilités et mieux protéger leurs clients, et éviter de laisser des brèches en jachère.

De plus, l’éditeur de Windows semble s’inscrire en porte-à-faux vis-à-vis de ses confrères en matière de temps de correction. Sur les 154 failles étudiées par le Project Zero (qui concernent tout autant les produits maison Chrome et Android), 85% ont été corrigées dans le délai des 90 jours fixé arbitrairement.

Un taux qui monte à 95% depuis octobre 2014. Adobe, star s’il en est en matière de vulnérabilités avec Flash Player notamment, a corrigé 100 % des 37 brèches de sécurité découvertes dans le cadre du Project Zero en temps et en heure. Un exemple à suivre.