Qu'est-ce que Coordinated Disclosure ?
Coordinated Vulnerability Disclosure
Il s'agit du processus par lequel une faille de sécurité est gardée confidentielle jusqu'à ce que le propriétaire du système prenne des mesures, avant d'être annoncée publiquement de manière planifiée.
Définition
La divulgation coordonnée des vulnérabilités (coordinated disclosure) est un modèle de collaboration entre les chercheurs en cybersécurité et les éditeurs de logiciels. Au lieu de divulguer immédiatement la faille critique trouvée à tout le monde, le chercheur en informe d'abord le développeur et lui accorde un délai raisonnable pour préparer un correctif. Une fois le correctif publié, la vulnérabilité est partagée avec le public pour encourager les utilisateurs à mettre à jour leurs systèmes.
Comment ça marche
Le chercheur détecte la faille et transmet un rapport privé contenant les détails techniques à l'équipe de sécurité du fabricant. Les parties s'accordent sur un calendrier précis pour la résolution. Dès que le fabricant prépare et publie le correctif, ou à la fin du délai convenu, la découverte est officiellement divulguée.
Où est-ce utilisé
Elle est appliquée dans le cadre de la recherche responsable en cybersécurité, des programmes de primes aux bogues (bug bounty) et des processus de sécurité des grandes entreprises technologiques.
Souvent confondu avec
Elle est souvent confondue avec la divulgation complète (full disclosure). Dans la divulgation complète, la faille est annoncée directement au public sans aucune mesure préalable ; dans la divulgation coordonnée, on attend d'abord le correctif.
Questions et réponses
Que se passe-t-il si l'entreprise ne corrige pas la faille ?
Les chercheurs se réservent généralement le droit de divulguer publiquement la faille après un délai raisonnable de 60 ou 90 jours afin de protéger les utilisateurs.
Quelle est la différence entre ce processus et les cyberattaques ?
Le chercheur n'abuse pas de la faille pour en tirer profit ; au contraire, il coopère avec le fabricant pour protéger le système et le sécuriser.
Termes liés
Cette explication a été rédigée en langage clair pour TreScout avec l’IA puis traduite automatiquement depuis l’original turc · la version turque fait foi. Si quelque chose vous semble erroné ou manquant, écrivez à hello@trescout.com. Lire en turc →