StopCoviD : L’application mis à l’épreuve des hackers

Si juridiquement et institutionnellement l’application de traçage mobile du gouvernement Français a été validée, il reste la question de la sécurité informatique.

Dans ce contexte, elle a été mise à l’épreuve par plusieurs hackers et codeurs, dans l’optique de découvrir si possible des failles de sécurité.

Cet article va aussi vous intéresser : StopCoviD : La première publication du code source de l’application de traçage serait vide et sans intérêt

Récemment des hackers engagés par l’État français s’évertuent pour mettre à nue des failles provenant de l’application de traçage. Mettant ainsi tout le monde en attente de résultats de ce fameux Bug Bounty. Le point de départ de ce travail est assez convainquant : « La même base de données MongoDB est utilisée pour tous les clients ! ».

Il faut ajouter que tous les codeurs ou spécialistes qui seraient intéressés par ce programme peuvent y participer via le code source de l’application qui a été mis en ligne ( en grande partie il faut le préciser) comme l’annonce et l’INRIA, l’Institut public de recherche informatique qui est à l’origine de l’application de traçage.

L’objectif apparent de ce programme est de prouver que l’application ne sera pas utilisé à des fins autres que énoncées par le gouvernement français, aucun abus ne sera réalisé avec les données qui pourront être récoltés.

Mais de manière pratique, une trentaine de spécialistes de la sécurité, de la catégorie de chasseurs de primes, ont été engagés par l’Institut de recherche informatique, sous la houlette de la société « Yes We Hack », dans le cadre d’une campagne de bug Bounty intensif. L’Agence nationale de la sécurité des systèmes d’information, le gendarme français de la sécurité des réseaux, supervise cette activité en collaboration avec l’INRIA. La découverte des vulnérabilités dans cette compagne peut être récompensée jusqu’à 2000 €.

Pour le patron de Yes We Hack, Guillaume Vassault-Houlière, la tâche s’avère difficile pour ces derniers. Car, c’est sur une « une plateforme assez mature qui a déjà bénéficié des recommandations de l’Anssi » qu’ils vont être dirigés. Toutefois il ne manque pas d’ajouter des hackers spécialisés « arrivent toujours à trouver des trucs, qui peuvent être bénins comme ils peuvent être très gros. ». Il ajoutera part ailleurs : « Et pourtant, nous avons tous types de structures parmi nos clients, y compris des entreprises qui dépensent des millions d’euros ou de dollars en système de défense. ».

En outre, personne n’a réussi jusqu’à présent, à cracker l’application, comme le précisait Stéphane Richard le dirigeant d’Orange, le jeudi dernier quelques heures après le début du programme de bug Bounty. Mais pour étouffer sa joie, Baptiste Robert, un hacker éthique, travaillons pour le compte de la société Yes We Hack, par ailleurs reconnaît sous le pseudonyme de Elliot Alderson, répliquait sur Twitter en annonçant avoir « ouvert 10 tickets hier soir au bug bounty de #StopCovid pour 10 problèmes + ou – grave (…) Un des soucis, un des plus stupides, est de la faute directe des développeurs d’Orange. ». Apparemment, le patron d’orange avait parlé un peu trop tôt.

Très clairement, il faut avouer qu’il est presque impossible de garantir que l’application a été développée sans aucune faille ni bug potentiel. Et les informaticiens pensent cela à l’unanimité. Et cela est commun pour tous les programmes informatiques. « Une application est développée par des humains » par conséquent, « il y a des forcément des erreurs », indique le directeur technique de F5 Networks, Arnaud Lemaire, qui est lui-même, un spécialiste de la sécurisation des réseaux et des applications. D’ailleurs, les développeurs ont eux-mêmes tendance à utiliser des « outils tout faits, des bouts de code tout faits accessibles dans des librairies qui, elles aussi, ont potentiellement des failles et des problèmes ». Sans oublier le fait que l’objectif des programmeurs à la base, est de faire fonctionner un outil dans un délai bien déterminé, ce qui relègue la question de sécurité en second plan. Ce qui a d’ailleurs confirmé par Arnaud Lemaire lorsque nore ceci : « Aujourd’hui ce qu’on demande aux développeurs, c’est de répondre à un cahier des charges et de respecter un délai ».

Dans le cadre de la campagne StopCoviD, Guillaume Vassault-Houlière signifiait que le plus important n’est pas seulement de déceler des failles de sécurité. Mais que les experts soient en mesure d’identifier le degré de dangerosité de ces dernières et les conséquences potentielles sur le fonctionnement du logiciel de traçage : « Tout doit se qualifier en fonction des métiers de l’application. » note-il. Histoire d’écarter les codeurs et les hackers qui ne sont pas à la hauteur dès le début. « Il y en a beaucoup qui se prennent pour des hackers, qui font de la sécurité comme quand j’avais 15 ans… et j’en ai 37 aujourd’hui ».

Accédez maintenant à un nombre illimité de mot de passe :