Bug Bounty : comment trouver les vulnérabilités avant les cybercriminels
Alors que le monde est sous la pression de cybercriminels toujours plus organisés, expérimentés et motivés à détourner des fonds, la sécurité collaborative gagne peu à peu des galons auprès des organisations qui souhaitent renforcer leur posture de cybersécurité.
Un bug bounty est une récompense monétaire accordée à des hackers éthiques pour avoir découvert et signalé une vulnérabilité (ou un bug) au développeur d’une application. Ces véritables chasses aux bugs sont pour les entreprises un moyen d’améliorer la sécurité de leurs systèmes en continu, en s’appuyant sur des chasseurs de prime "de confiance". Aujourd’hui, certains hackers éthiques sont de vraies stars dans leur domaine, exerçant cette activité à temps plein et parvenant à gagner - parfois très bien - leur vie. Les programmes de bug bounty attirent donc de nombreux hackers aux compétences variées et pointues, face auxquels certaines équipes de sécurité ne peuvent rivaliser ; les meilleurs profils d’experts en sécurité étant souvent trop chers.
Dans les coulisses d’un programme de bug bounty
Un programme de bug bounty commence par la définition du périmètre et du budget. Le champ d'application définit les systèmes qu'un hacker peut tester et précise la façon dont le test est réalisé. Certaines entreprises interdisent l'accès à certains domaines et excluent les tests qui pourraient perturber les opérations du quotidien. Cela leur permet d’effectuer des tests de sécurité sans compromettre l'efficacité globale de l'organisation.
Certains bug bounties proposent des primes très élevées, confirmant que les entreprises prennent au sérieux la détection de failles dans leurs systèmes. Souvent, les montants des primes sont proportionnels à la gravité des failles détectées, et les récompenses augmentent à mesure que l'impact potentiel s'accroît. Mais l'argent n'est pas la seule motivation des hackers. Les classements des meilleurs hackers peuvent aussi les aider à accroître leur notoriété voire… à trouver un emploi !
Lorsqu'un hacker détecte un bug, il remplit un rapport qui détaille avec précision la nature du problème, son impact sur l'application et son degré de gravité. Il indique ensuite les étapes clés et les éléments qui permettront aux développeurs de reproduire le bug. Une fois que les développeurs ont confirmé le bug, l'entreprise verse la prime.
Une popularité grandissante
Certaines des plus grandes organisations mondiales organisent déjà des bug bounties pour assurer la sécurité de leurs applications et celle de leurs clients.
Par exemple Shopify. Avec plus de 500 000 commerçants affiliés dans le monde, cette plateforme de e-commerce a fait de la sécurité une priorité absolue. À ce jour, Shopify a versé plus d’1,3 millions d’euros de primes à des hackers éthiques et offre jusqu'à 25 000 € pour le signalement d’une faille critique. En décembre dernier, un hacker a découvert une vulnérabilité critique qui aurait pu permettre un accès non autorisé aux comptes des commerçants. Grâce au programme de bug bounty qui était en cours, le hacker a informé l'équipe de Shopify qui a alors pu corriger le bug à temps pour Noël, période stratégique pour la marque.
Autre exemple avec Yelp, plateforme de recherche de bonnes adresses connecte les chercheurs à d'excellentes entreprises locales dans le monde entier. Après plusieurs programmes de bug bounty, Yelp intègre jusqu’à 19 domaines différents dans son champ d'application, des applications mobiles aux systèmes de messagerie électronique. À ce jour, Yelp a corrigé plus de 300 vulnérabilités et continue d'ajouter de nouvelles applications et domaines à sa feuille de route.
Le secteur public n’est pas en reste et certaines des organisations gouvernementales les plus prestigieuses au monde ont leurs propres programmes, visant à protéger les données les plus sensibles comme des données militaires dans le cas de l’armée.
Comment se lancer ?
Auparavant, mettre en œuvre un programme de bug bounty nécessitait la création d'une plateforme de communication, la mise en place de systèmes de suivi des bugs et l'intégration de passerelles de paiement. Aujourd'hui, la mise en place d'un bug bounty est un processus simple qui s'effectue par l'intermédiaire d'une plateforme de hackers et qui permet aux organisations de définir leur champ d'action, de suivre les rapports et de gérer les paiements en un seul endroit.
Des rapports détaillés permettent aux équipes de sécurité de suivre en direct l'évolution de leurs programmes et aux entreprises de définir des accords de niveau de service personnalisés pour résoudre rapidement les nouvelles alertes. Aussi puissant soit-il, le bug bounty n’est en réalité que la partie visible de la sécurité collaborative qui recèle d’autres armes plus secrètes mais tout aussi efficaces (comme les tests de pénétration) pour améliorer sa posture en cybersécurité. Des pratiques désormais à la portée de nombreux profils d’organisations.