Faille simple mais importante dans Ms Passport

Une faille "aussi bête que l'oeuf de Christophe Colomb" a été découverte par Muhammad Faisal Rauf Danka, ingénieur pakistanais spécialisé en sécurité, dans Passport, le service d'authentification de Microsoft. Le courrier de Rauf Danka est assez explicite sur la méthode utilisée : il suffit de "forger" une demande d'initialisation de mot de passe - prévue dans le cadre de la procédure destinée aux utilisateurs amnésiques et distraits -, et d'y inclure l'alias smtp du pirate détourneur de compte. Le communiqué annonçant le colmatage de brèche de la part de Microsoft, publié le 7 de ce mois, se limite à énoncer un laconique : "C'est corrigé. Si vous pouvez vous connecter à Messenger, n'ayez cure de cette alerte, dans le cas contraire, adressez-vous au support".

L'éditeur semble donc s'être auto-exempté de prévenir personnellement chacun de ses utilisateurs. Hors, la découverte du problème, si l'on en croit les propos de l'inventeur officiel, date du 12 avril, et la correction du 7 mai. Durant toute cette période, tout possesseur de compte Passport a pu se faire pirater... et l'on est loin d'une simple usurpation d'identité dans le cadre d'un forum de conversations interactives : achats en ligne, accès à certains sites privés, zone de téléchargement MSDN... la pyramide Passport a fait eau de toutes part pendant près de 20 jours, alors que la première des prudences eut été de fermer immédiatement - dès la mi-avril - le site d'identification, ou tout au moins la procédure d'initialisation de mot de passe.

Crainte des conséquences d'une mesure extrême ? Refus de céder à la panique ? Modération et temporisation ? On peut admettre ce genre d'argument, d'autant plus que l'échange entre l'ingénieur pakistanais et la cellule sécurité de Microsoft est demeuré secret, respectant en cela la règle de la "divulgation raisonnée". Seulement, rien ne prouve que cette faille "évidente" ait été découverte par une et une seule personne à ce jour.