Zero-Day

Une faille Zero Day, un risque majeur si elle est exploitée. Zero-Day (on parle parfois d’exploit) est un anglicisme non traduit qui en informatique désigne une faille de sécurité, une brèche dans un logiciel découverte « le jour même », et pour laquelle aucun correctif n’a encore été publié. Il s’agit donc d’un problème majeur pour l’éditeur du logiciel, spécialement pour les applications Internet, car si l’information circule avant que la faille ne soit comblée, les hackers de tous poils l’exploiteront, avec des conséquences parfois graves selon les utilisateurs du logiciel ou du processus incriminé. Une faille zero-day peut être découverte de plusieurs façons, ce qui nous amène à quatre scénarios avec des conséquences très différentes : Le premier est un dysfonctionnement visible du logiciel suite à une mise à jour problématique (ou à une modification de l’environnent informatique) qui, par exemple, conduirait le login d’un webmail sécurisé à ne plus demander d’identifiants pour accéder à son contenu… Dans cet exemple, tout le monde est au courant en même temps, et la course va s’engager entre les hackers et l’éditeur du webmail : d’un côté pour profiter de la situation, de l’autre pour y remédier… La publicité, inévitable, qui entoure ce genre de course est toujours dommageable pour l’éditeur de logiciel. En seconde position, la faille zero-day peut être découverte par une seule personne ; si elle est bienveillante, elle en informera l’éditeur du logiciel, et ce dernier publiera un discret correctif. Très peu de gens seront au courant,et les conséquences resteront mesurées. Troisième possibilité, les développeurs du logiciel découvrent eux-mêmes une faille zéro day. Ils publient immédiatement un correctif, et l’affaire en reste là, étape quasi normale dans la vie mouvementée d’un logiciel. Dernier exemple, le pire de tous, l’attaque zero-day est l’oeuvre d’un hacker isolé ou d’un très petit cercle, qui conserve le secret sur la faille pour l’exploiter le plus longtemps possible !

Dans certains secteurs, financiers, industriels ou militaires, les conséquences d’une telle attaque, qui peut durer des mois, peuvent être très difficiles à évaluer… Dans tous les cas, quand une faille zero-day est découverte, pis encore quand il s’agit d’une attaque zero-day, le branlebas de combat retentit chez l’éditeur du logiciel concerné ; de la façon dont il gérera la crise dépendra la confiance de ses clients, et parfois même, dans les cas les plus critiques, sa survie commerciale.