Le géant américain Microsoft dépense plus de 13 millions de dollars comme récompenses pour la découverte de bugs

Dans un communiqué récemment publié, le géant de Redmond a signifié avoir dépensé près de 13,7 million de dollars dans des programmes de recherche de bug.

Ces dépenses ont couru entre le 1er juillet 2019 au 30 juin 2020 soit en une année. En échange, le géant américain affirme avoir reçu près de 1226 rapports de vulnérabilité. 327 chercheurs en sécurité informatique, répartis sur tous les continents du monde, à travers exactement 15 programmes de recherches de bugs ont profité de cette énorme somme d’argent.

Cet article va aussi vous intéresser : 100 000 dollars pour pirater Microsoft

La plus grosse récompense durant cette année a été à hauteur de 200 000 dollars.

En général, le programme de recherche de bug lancé par Microsoft se place comme étant l’une des principales sources de revenus des spécialistes de la sécurité informatique freelance, qui passent leur temps à rechercher des vulnérabilités dans les différents logiciels pour ensuite avertir le fournisseur. Au lieu de tout simplement le vendre à des pirates informatiques ou encore à des courtiers en passant par le marché noir, se muer en chasseur de bug et une activité légale qui peut rapporter gros selon la trouvaille.

Par rapport à l’année précédente, on dira que Microsoft a tout simplement triplés son budget de prime. En effet l’année dernière c’était 4,4 millions de dollars qui aurait été distribués dans les mêmes conditions. Parfois, les agents de Microsoft Security Response Center déclarent ceci dans un billet de blog : « Les chercheurs en sécurité sont une composante vitale de l’écosystème de cybersécurité qui protège toutes les facettes de la vie numérique et du commerce ». Ces derniers ajouteront que : « Les chercheurs qui consacrent du temps à découvrir et à signaler les problèmes de sécurité avant que les adversaires ne puissent les exploiter ont gagné notre respect et notre gratitude ».

Notons à titre de rappel que le bug Bounty et une prime qui est versée lors d’un programme, qui consiste pour des chercheurs à déceler dans des programmes informatiques (système d’exploitation, applications de gestion, soc.) des failles de sécurité, qui n’auraient pas été décelées par les fabricants et les visiteurs lors de la conception du programmes ou matériel informatique concerné. Tout ceci se déroule dans des conditions légales bien encadrées. Les chercheurs sont souvent connus d’avance. Ils sont tenus au respect de la confidentialité de leur trouvaille et ne sont en aucun cas autorisés à exploiter la vulnérabilité qu’ils découvriront. En ce qui concerne les failles de sécurité découvertes lors de ses programmes, les chercheurs impliqués doivent faire un rapport détaillé de la procédure qui leurs ont permis de découvrir cette vulnérabilité. Notons que les programmes de bug Bounty s’apparentent un peu au tests d’hacking généralement réalisés par des prestataires en particulier. Cependant ces derniers n’offrent pas les mêmes opportunités et les mêmes challenges que les bug Bounty. En effet, le programme de chasse de Primes de bug permet de multiplier le nombre de personnes qui auront la tâche de trouver la vulnérabilité. Et la plupart du temps de compétences qui sont la plupart ignorées par les prestataires de solutions de sécurité les tests d’hacking sont relevés. Sans oublier que le temps accordé à cette tâche et beaucoup de plus élevé que celui qui est généralement est consacré à un audit ponctuel. Sans oublier dans un certain sens que les angles d’attaques sont divers et originaux.

Pour ce qui concerne les primes octroyées par le géant de Redmond, leur subite augmentation s’explique notamment par les nombre de vulnérabilité qui auraient été découvertes, en particulier par l’équipe de Google, le Project Zéro. En effet, le 3 août dernier c’est-à-dire la semaine passée, l’équipe du géant américain mentionnait avoir découvert près de 11 failles de sécurité de type 0 day (ces failles de sécurité qui sont intrinsèquement liées soit à un matériel informatique ou un programme, et qui n’ont jamais été découvertes ni par l’éditeur ni par un chasseur de prime agréé, et donc n’aurait pas été corrigées.) qui auraient été exploitées durant le premier semestre de 2020. Le fait qu’il n’est pas négligeable quand on sait que découvrir des vulnérabilités de type 0 day est extrêmement rare.

Toutefois il ne faudrait pas oublier que durant le mois de mars, Microsoft corrigeait près de 115 failles de sécurité découvertes. Parmi ces vulnérabilités, une en particulière aurait décelée au niveau de l’exécution à distance des codes Microsoft Edge PDF (CVE-2020-1096). D’autres failles offraient la possibilité de corrompre la mémoire des Windows. Ces failles de sécurité ont malheureusement été exploitées avant même que Microsoft puisse produire des patchs de sécurité.

Par ailleurs, Microsoft explique l’augmentation des primes versées par le fait développement de nouveaux programmes informatiques. Il confirme aussi que la crise du au Coronavirus a été l’une des causes à considérer : « En plus des nouveaux programmes de primes, la pandémie de COVID-19 semble avoir eu un impact sur l’activité des chercheurs en sécurité. Dans l’ensemble de nos 15 programmes de primes, nous avons constaté un fort engagement des chercheurs et un volume de rapports plus élevé au cours des premiers mois de la pandémie », a signifié Jarek Stanley, responsable du programme de Microsoft Security Response Center.

Entre autres, on peut noter ces programmes de recherche de bug à titre d’illustration :

– le programme Microsoft Dynamics 365 Bounty lancé en juillet 2019 ;

– le programme Azure Security Lab lancé en août 2019 ;

– le programme Microsoft Edge on Chromium Bounty lancé en août 2019 ;

– Le programme Xbox Bounty lancé en janvier 2020 ;

– Le programme de recherche sur la sécurité d’Azure Sphere lancé en mai 2020.

En outre, le géant américain ne compte pas de divulguer la femme totale qu’il a dépensé depuis le début de ces programmes de chasse au Bug : « Notre programme Bug Bounty a démarré il y a sept ans dans le but de protéger davantage nos milliards de clients alors que les menaces de sécurité continuaient d’évoluer », note Jarek Stanley. Il ajoutera : « Nous ne pouvons pas divulguer le nombre exact de paiements depuis le début du programme de récompenses ».

Accédez maintenant à un nombre illimité de mot de passe :