Assurer la sécurité de ses données en ligne relève du défi, au vu de la menace cybercriminelle. On le sait, la cybersécurité est un enjeu de taille qu’il faut considérer avec une extrême attention. Dans cette optique, de nombreuses entreprises prennent l’initiative d’identifier et de réparer les failles de leur système avant qu’elles ne puissent être exploitées par des cybercriminels. C’est ce principe qui caractérise le bug bounty, une pratique qui prend de l’ampleur et tend à se démocratiser. Mais de quoi s’agit-il ?
Le bug bounty : de quoi parle-t-on ?
Le bug bounty fait littéralement référence à une « chasse aux bugs » savamment orchestrée par des entreprises et menée par des spécialistes en cybersécurité comme OTO Technology ou par des hackers, chercheurs à leur compte. Cette manœuvre répond à des impératifs de sécurité, dans le sens où elle permet de détecter des vulnérabilités et de les signaler afin qu’elles soient corrigées. Le bug bounty s’inscrit donc totalement dans le cadre du hacking éthique et ouvre de nouvelles perspectives à la cybersécurité.
Bug bounty : comment ça marche ?
Campagne de bug bounty publique ou privée ? Les entreprises ont le choix de la formule qui leur convient, sachant qu’une campagne privée se prête davantage à des besoins de confidentialité. Le bug bounty suit un déroulé bien précis et correspond à une feuille de route qui spécifie le champ d’application des tests et la méthodologie à suivre.
Le chercheur n’a pas systématiquement accès à tout le système, les tests étant susceptibles de nuire à certaines fonctionnalités essentielles. Si durant l’exécution du programme, il détecte une faille, il est tenu de produire un rapport récapitulant les caractéristiques du bug, le niveau de la menace ainsi que les étapes à suivre pour déployer un correctif efficace.
Le bug bounty étant une activité rémunérée, il doit être assorti d’un budget. La récompense, le bounty dans ce cas précis, n’est jamais figée. Sa valeur est corrélée à la gravité de la faille détectée. Plus elle est critique et plus la prime sera élevée. La réputation des chercheurs ou des hackers joue également sur la valeur de leurs émoluments.
Aujourd’hui, un nombre grandissant d’entreprises se spécialisent dans le bug bounty et se présentent ainsi comme de véritables prestataires de services. Le marché est de mieux en mieux structuré, avec d’un côté, les hackers et les chercheurs et de l’autre, les entités qui souhaitent renforcer la sécurité de leur organisation. Ces différents acteurs se rencontrent par l’intermédiaire de plateformes spécialisées comme HackerOne, Yogosha et YesWeHack.
Le bug bounty : un sujet qui divise ?
On reconnaît au bug bounty plusieurs avantages :
- Possibilité d’anticiper les cybermenaces ;
- Maîtrise des coûts de cybersécurité ;
- Amélioration de la sécurité.
Avec le bug bounty, les entreprises font preuve de proactivité et ne sont plus dans une posture uniquement défensive. Toutefois, certaines entités s’opposent catégoriquement à cette pratique, pointant du doigt des limites non négligeables.
En effet, le bug bounty peut être considéré comme un couteau à double tranchant, puisqu’il ne repose que sur l’éthique des hackers. Cette critique est fondée quand on sait que les vulnérabilités informatiques peuvent s’échanger à prix d’or sur le marché noir. Pour limiter ces dérives, les plateformes de mise en relation entre chercheurs et entreprises se plient à un processus de recrutement rigoureux basé sur le mérite et la confiance. Elles mettent en place un système de parrainage et de recommandation afin de créer un cercle vertueux qui exclut les hackers mal intentionnés.
