Project Spartan
Le navigateur est toujours un point faible pour la sécurité informatique. Il suffit d’analyser l’ensemble des Patch Tuesday sur les dernières années pour voir que de manière quasi-systématique des correctifs critiques touchent Internet Explorer. Avec l’arrivée prochaine de Windows 10 et du navigateur Spartan, Microsoft veut éviter de se retrouver avec la découverte d’une faille critique dès le lancement du navigateur.
D’où l’annonce hier d’ouvrir pendant 2 mois un programme de recherches de bugs, de failles dans Spartan. Il est accessible à tous à l’exception du personnel de Microsoft et de leur entourage, ainsi que des sociétés ou des résidents de pays sous sanctions américaines. Successeur d’Internet Explorer, le prochain navigateur a été réécrit complétement et donc peut théoriquement contenir des vulnérabilités accessibles. Les hackers qui sont intéressés peuvent soumettre leurs travaux directement à Microsoft. La firme de Redmond annonce qu’en fonction des découvertes les récompenses pourront aller de 500 à 15 000 dollars.
Ces montants pourraient être dépassés en fonction de la qualité et de la complexité des solutions proposées. Pour prétendre à ces montants, les hackers devront découvrir des failles actives autorisant l’exécution de code à distance ou de contournement de la sandbox. Le simple proof of concept de ces failles est primé de manière moindre. Enfin le paiement de 500 dollars est valable pour des vulnérabilités ASLR (adresse-Space Layout randomisation) trouvées dans Spartan ou le moteur de rendu EdgeHTML.
Par contre, ce programme ne devrait pas connaître une grande médiatisation sur les failles découvertes. Peut-être saura-t-on le montant global des primes versées. Il s’agit en tous cas d’une étape devenue quasi obligatoire pour inciter les experts en sécurité à travailler sur la fiabilité des logiciels. Un groupe de chercheurs a montré dans un rapport l’importance de ces programmes avec une incitation financière pour la recherche de failles Zero Day.
A lire aussi :
Dropbox lance aussi un programme de rémunération des chercheurs en sécurité
Office 365 se dote d’un programme de recherche de bug
La Cour des comptes appelle à formaliser et à professionnaliser certains aspects du RIE, tout…
La Cour des comptes attire l'attention sur le risque d'affaiblissement d'Etalab, privé, ces dernières années,…
Missions historiques de la Dinum, l'ouverture des données publiques et la promotion des logiciels libres…
Pour développer une version 7B de son modèle Codestral, Mistral AI n'a pas utilisé de…
L’Autorité de la concurrence et des marchés (CMA) britannique ouvre une enquête sur les conditions…
Thomas Gourand est nommé Directeur Général pour la France. Il est chargé du développement de…