Failles zéro day : si spéciales... et précieuses

Bonjour à tous et bienvenue dans le ZDTech, le podcast de la redaction de Zdnet. Moi je m’appelle Louis Adam et aujourd’hui je vais vous expliquer pourquoi les failles zéro day sont si spéciales, et précieuses, en matière de sécurité informatique.

Ces failles d’un genre un peu special sont le cauchemar des editeurs et des constructeurs comme Apple, mais aussi de leurs utilisateurs./ Et elles se monnayent parfois pour des millions d’euros, au profit de services de renseignements et de cybercriminels qui souhaitent les utiliser.

Mais pour comprendre ce qu’est une faille zero day, il faut déjà comprendre ce qu’est une faille tout court./ Il s’agit d’un bug dans un programme informatique, une erreur qui va pousser l’ordinateur ou l’appareil à se comporter d’une façon inattendue./ Ces failles peuvent être utilisées pour prendre le contrôle de l’appareil, voler des informations secretes comme les mots de passe et d’autres choses du même genre.

Quand ces failles sont decouvertes, l’editeur publie une mise à jour de son logiciel.

Ces mises à jours visent à reparer l’erreur et rendre la faille inutilisable. L’utilisateur doit donc télécharger et appliquer les dernieres mises à jours fournies par les editeurs de ses logiciels pour se proteger. / C’est plus facile à dire qu’à faire : les attaquants profitent souvent de failles connues et corrigées, mais que les utilisateurs n’ont pas eu le temps de patcher.

Mais alors qu’est ce qu’une faille zero day a de plus qu’une faille normale ?

Une faille zero day, c’est précisement une faille inconnue de l’editeur du logiciel. Comme le createur du programme n’est pas au courant de son existence, il n’existe aucune mise à jour pour corriger le probleme. Et l’utilisateur final ne peut donc rien faire pour se proteger.

Pour pirater votre telephone ou votre ordinateur, les failles zero day sont donc la methode revée.C’est la raison pour laquelle les informations sur ces failles sont vendues à des prix parfois delirants : jusqu’à 2 millions de dollars pour une faille Zero day sur un iphone par exemple.

Face à cela, les editeurs eux même proposent de payer les chercheurs en sécurité qui leur signalent des vulnérabilités, afin de pouvoir les corriger. Malheureusement, les montants offerts par ces programmes de récompenses peinent bien souvent à s’aligner sur les prix pratiqués par les courtiers en faille zeroday. Pour un chercheur ayant découvert une vulnérabilité de ce type, la tentation est donc grande d’aller la revendre à un courtier qui l’utilisera pour contournr les protections d’un systeme.

Ce genre de prix reserve l’utilisation de ces failles à des organisations soutenues par des gouvernement, commes les services de renseignement ou de police. /Ils s’en servent officiellement pour pirater les appareils des suspects dans le cadre de leurs enquetes. Mais parfois, des cybercriminels peuvent egalement mettre la main dessus, et en profiter pour faire beaucoup de degats.

Et voilà, normalement on a fait le tour du sujet. Pour en savoir plus, rendez-vous sur zdnet.fr. Et retrouvez tous les jours un nouvel épisode du ZD Tech sur vos plateformes d'écoute de podcast préférées.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

🚀 Powered by Ausha