Sécurité : Microsoft impose le secret sur ses failles

A la tête d'un pseudo-comité (1) de normalisation http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/news/standard.asp des procédures de sécurité, Microsoft veut restreindre la diffusion des informations concernant les failles de sécurité. L'éditeur souhaite qu'un silence d'un mois soit observé avant que toute publication technique puisse être communiquée à propos d'éventuelles faiblesses d'un logiciel.

Cette politique de rétention vient compléter la stratégie http://www.weblmi.com/daily/2001/1005/securite1.htm antivirus annoncée en grande pompe début octobre.

L'argumentaire http://www.weblmi.com/daily/2001/1019/virus.htm de Scott Culp, le patron du Microsoft Security Response Center, qui accusait en octobre les experts en sécurité d'alerter les pirates - mais aussi les piratés ! - sur les failles, semble donc avoir porté.

Désormais, les pirates, les vrais, les dangereux, " ceux qui trouvent la faille ", auront un bon mois de grâce pour agir et peaufiner leurs développements afin d'attaquer des systèmes privés de toute alerte.

L'éditeur ne fait cependant que profiter de la vague sécuritaire ambiante exacerber à l'extérieur de la Toile par les craintes terroristes et à l'intérieur par les virus ver Nimda http://www.weblmi.com/daily/2001/0920/virus.htm et autres Code rouge http://www.weblmi.com/daily/2001/0807/virus.htm . Sa décision quasi unilatérale apparaît comme le dernier épisode de la tendance à vouloir créer une information à deux vitesses, consistant à ne délivrer les données " sécurité " qu'à un cénacle d'experts autoproclamés. Déjà en avril http://www.weblmi.com/daily/2001/0423/net.htm , le Cert (2) annonçait la constitution d'une alliance pour sécuriser le réseau. L'accès immédiat aux informations qu'elle produit n'est possible qu'à condition de s'être acquitté d'un droit d'entrée fixé à 70 000 $.

(1) En attente d'un nom de baptême, l'organisation regroupe Bindview, Foundstone, Guardent, Internet Security Systems (ISS), et surtout, @Stake, ancienne bande de pirates chevronnés plus connus sous le nom de Lopth et auteurs d'un des plus beaux cracks du SAM - outils d'administration d'authentification - de Windows NT. L'honorabilité rend parfois amnésique.

(2) Computer Emergency Response Team, situé à l'université Carnegie Mellon (Philadelphie) et financé par le Département américain de la Défense.