Microsoft cherche un rameau d’olivier après une affaire publique avec un chercheur du jour 0

Microsoft a décidé de calmer une réaction de plus en plus bruyante de la part de la communauté de la sécurité après avoir semblé menacer de poursuites judiciaires un chercheur qui a passé les dernières semaines à diffuser les zéros jours de Windows sur Internet.

Dans un communiqué publié lundi, Redmond a déclaré qu’il n’avait « aucune intention de prendre des mesures contre les individus menant ou publiant des recherches sur la sécurité », une position nettement plus douce que celle qu’il avait adoptée quelques jours plus tôt lorsqu’il avait condamné une série de divulgations publiques de vulnérabilités et invoqué son unité de criminalité numérique.

La déclaration mise à jour fait suite à une querelle publique avec un chercheur connu sous le nom de Nightmare-Eclipse, qui a publié plusieurs Windows Zero Day ainsi qu’un code d’exploitation de preuve de concept. Plusieurs de ces vulnérabilités ont depuis été exploitées à grande échelle, transformant ce qui aurait pu rester un obscur différend en matière de divulgation en un débat beaucoup plus vaste sur la manière dont les fournisseurs traitent les chercheurs en sécurité.

La semaine dernière, Microsoft a décrit la publication de codes d’exploitation pour des failles non corrigées comme « jamais justifiable » et a averti qu’il collaborerait avec les forces de l’ordre si une activité criminelle nuisait aux clients. La déclaration a immédiatement suscité des critiques de la part de certaines parties de la communauté de la sécurité, les chercheurs avertissant que le langage risquait de créer un effet dissuasif autour de la recherche sur les vulnérabilités.

L’ancien employé de Microsoft et chercheur en sécurité, Kevin Beaumont, a décrit la position de l’entreprise comme un « incendie de poubelle de sa propre initiative », tandis que la fondatrice de Luta Security, Katie Moussouris, qui a créé le programme de bug bounty de Microsoft, a déclaré : Le registre la réponse a envoyé des messages contradictoires.

Elle a remis en question la décision de Microsoft de vanter la rémunération et la reconnaissance des chercheurs tout en répondant à un chercheur qui prétendait n’avoir reçu ni l’un ni l’autre, et a fait valoir que les références à l’Unité des crimes numériques donnaient au message un sentiment « vaguement menaçant ». Elle a ajouté que, quels que soient les détails du différend, Microsoft risquait de créer un effet dissuasif sur les autres chercheurs qui envisageaient de signaler ou non les vulnérabilités.

De plus, si l’objectif de Microsoft était d’isoler Nightmare-Eclipse, cela ne se passerait peut-être pas tout à fait comme prévu. Le chercheur a affirmé ce week-end que d’autres chercheurs avaient commencé à révéler des vulnérabilités suite à la réponse de Microsoft, notamment une faille présumée surnommée « Bitskrieg » qui viole les garanties de confiance du démarrage sécurisé et contourne BitLocker. Nightmare-Ecipse a déclaré que le bug serait publié « courant juin ».

Dans ce contexte, le message de Microsoft lundi s’apparente davantage à un contrôle des dégâts qu’à un message de dissuasion.

« Nous n’avons aucune intention de poursuivre les individus menant ou publiant leurs recherches en matière de sécurité », a déclaré Microsoft, ajoutant que les recours juridiques seraient réservés aux personnes se livrant à des activités malveillantes causant un préjudice aux clients. L’entreprise a également reconnu que « certaines interactions ont échoué » et a déclaré qu’elle s’efforçait de tirer les leçons des commentaires.

Notamment, Microsoft n’a pas concédé les allégations spécifiques de Nightmare-Eclipse. Le chercheur avait accusé Microsoft d’avoir supprimé les comptes utilisés pour le reporting des vulnérabilités, de refuser de payer des primes et de mal gérer les communications via le Microsoft Security Response Center. La société n’a pas directement répondu publiquement à ces affirmations.

Personne ne devrait confondre la déclaration de lundi avec une conversion soudaine à l’Église de la pleine divulgation. Microsoft reste fermement convaincu que les chercheurs devraient signaler les vulnérabilités en privé, donner aux fournisseurs le temps de les corriger et éviter de diffuser du code d’exploitation fonctionnel sur Internet pour que tout le monde puisse jouer avec.

Le problème pour Redmond était que l’argument dérivait bien au-delà des actions d’un seul chercheur. Ce qui a commencé comme un différend sur une série de versions Zero Day de Windows s’est rapidement transformé en un débat sur la relation de Microsoft avec la communauté de la sécurité et sur la question de savoir si l’entreprise était à l’aise de faire appel à des avocats lorsque cette relation se détériorait.

La déclaration mise à jour ressemble beaucoup à une tentative de freiner ce récit. ®