Sécurité pour les MSP : VDPs, Bug Bounties, et Divulgation Responsable

En 2021, la sécurité de l'information est le problème de tous. Heureusement, le secteur est en plein essor et il existe un nombre sans précédent de professionnels prêts à vous aider à rechercher les vulnérabilités au sein de votre environnement. Moins heureusement, beaucoup de ces professionnels approcheront souvent les entreprises de manière non sollicitée, offrant des conseils sur une faille qu'ils ont déjà découverte dans les produits ou l'infrastructure de votre entreprise.

Si la loi de Linus est vraie, la collaboration entre vous et ces professionnels est essentielle pour éviter une catastrophe. Alors, par où commencer ?

Programmes de divulgation des vulnérabilités (VDP)

Le simple fait de pirater un système numérique est un sujet sensible pouvant entraîner d’énormes conséquences juridiques et financières. Mais que faire si vous souhaitez que des professionnels de la sécurité identifient les failles au sein de votre organisation ? Comment vous assurer que ces professionnels agiront dans votre intérêt ? Afin d’établir des limites claires, quelqu’un doit définir des règles d’engagement. Ce quelqu’un, c’est vous, en mettant en place un programme de divulgation des vulnérabilités (VDP).

Un PDV (où "P" peut également signifier "Politique") est un ensemble de lignes directrices qui indiquent aux chercheurs comment agir au mieux de leurs intérêts. Dans ce document, vous fournissez également des réponses à des questions telles que :

• Avec lesquels de vos systèmes suis-je autorisé à communiquer ?
• Qui dois-je contacter si je trouve une vulnérabilité ?
• Quand dois-je m'attendre à recevoir une réponse à mes e-mails ?
• Promettez-vous de ne pas me poursuivre en justice jusqu'à l'oubli ?

Comment rédiger une politique ? Par où commencer ? La mauvaise nouvelle, c'est qu'il n'y a pas de norme. La bonne nouvelle, c'est qu'il n'y a pas de norme !

Les règles d'engagement peuvent être ce que vous voulez. Si vous n'arrivez pas à écrire, il peut être utile de lire les programmes d'autres entreprises :

• Programme de divulgation des vulnérabilités (VDP) de Datto
• Règles du programme de récompense des vulnérabilités (VRP) de Google
• Programme Bug Bounty de Starbucks

Il existe également des modèles que vous pouvez utiliser :

• Directive opérationnelle contraignante de l'Agence pour la cybersécurité et la sécurité des infrastructures - Modèle de PDV
• Modèle Secuna VDP
• Modèle de PDV Disclose.io

Au minimum, vous devez inclure

1. Une liste des systèmes/logiciels dans le champ d'application et hors du champ d'application.
2. Règles et attentes à l'égard du chercheur en ce qui concerne le comportement, la communication et la rédaction de rapports.
3. Moyens pour le chercheur de vous contacter.
4. Une indication de Safe Harbor, donnant au chercheur l'assurance que vous n'engagerez pas de poursuites judiciaires à son encontre.

Le fichier security.txt

Au-delà de la politique elle-même, il existe également un intérêt commun pour un fichier « security.txt » spécifique, hébergé sur votre serveur web public et fournissant aux chercheurs des informations clés sur votre programme. Il existe un excellent outil en ligne permettant de générer ce fichier, ainsi que des instructions de déploiement, disponibles sur securitytxt.org.

Vous remarquerez peut-être que le fichier security.txt fournit un pointeur vers votre clé PGP pour le cryptage des courriels. Cette partie est facultative (comme tout ce que nous avons abordé jusqu'à présent), mais souvent recommandée pour ceux qui souhaitent crypter le contenu d'e-mails sensibles.

Voici quelques façons de générer une clé PGP :

• Pour ceux d'entre vous qui utilisent Windows, je recommande Gpg4Win.
• Pour Linux, il existe de nombreux guides ; en voici un.

Programmes publics ou privés

Un VDP peut se présenter sous deux formes :

Les programmes ouverts au public sont ceux qui s'adressent à tous ; tout chercheur peut y participer à tout moment, et les détails de votre programme sont accessibles à tous.

• Pro : Vous permet d'obtenir le maximum d'informations sur vos systèmes et vos produits.
• Inconvénient : peut nécessiter une quantité considérable de ressources pour trier toutes les soumissions (dont la plupart contiendront probablement des conclusions et des rapports de faible qualité).

Les programmes privés sont accessibles uniquement sur invitation ; les chercheurs doivent d'abord vous demander l'autorisation de participer, et les détails de votre programme ne sont pas rendus publics.

• Pro : Permet de réduire au minimum le volume de problèmes pour ceux qui n'ont pas les ressources nécessaires pour suivre le mouvement.
• Inconvénient : certains vendeurs peuvent abuser de ce système comme d'un bâillon ou comme d'une vitrine "à effort minimal".

Il est souvent recommandé de commencer par un programme privé et d'évoluer vers un programme public une fois que vous êtes certain de pouvoir gérer un volume de soumissions de rapports 5 à 10 fois supérieur.

Récompenses pour les vulnérabilités ("Bug Bounties")

Si certains chercheurs peuvent travailler à titre gracieux, la majorité d'entre eux préfèrent être rémunérés pour leurs efforts. Cette partie peut devenir délicate si un chercheur exige une rémunération pour un travail non sollicité.

Aucune loi ou code moral ne vous oblige à récompenser qui que ce soit pour ses efforts non sollicités, et vous ne devriez pas vous sentir obligé de le faire si cela ne rentre pas dans votre budget. Cela dit, la majorité des chercheurs peuvent apprécier et apprécieront toute compensation ou reconnaissance pour leurs efforts, qu'ils soient grands ou petits.

Quelques idées pour récompenser les chercheurs :

• Money, où les problèmes les plus critiques reçoivent des récompenses plus élevées
• Swag de l'entreprise
• Reconnaissance du nom sur une page du Panthéon
• Réductions et cartes-cadeaux pour les magasins courants
• Pièces de monnaie, figurines ou petits bibelots symbolisant leurs réalisations
• Abonnements payants à des outils de piratage courants ou à du matériel d'apprentissage

L'essentiel dans cette section est de définir clairement les attentes dès le départ. Assurez-vous que votre politique en matière de récompenses soit clairement présentée sur votre site web afin de réduire au maximum les risques de malentendus.

Je veux payer les gens, mais quel est le montant raisonnable ?

Je me dois d'insister sur le fait que cette partie est entièrement à votre charge.

Au moment où nous écrivons ces lignes, les montants des récompenses offertes par Google pour les failles de sécurité vont de 100 $ à 31 337 $, tandis que ceux d’Apple varient entre cinq et sept chiffres. Un exemple plus concret pourrait être celui du programme de Slack, où les fourchettes de récompenses sont récemment passées de 100 à 1 500 dollars à 250 à 5 000 dollars, à mesure que le programme gagnait en maturité. Commencez modestement et progressez petit à petit.

Il convient de se méfier des chercheurs qui exigent une compensation avant de soumettre leurs résultats. Au mieux, c'est contraire à l'éthique ; au pire, c'est du chantage et cela peut avoir des répercussions juridiques.

Délais de remédiation et information du public

Il existe quelques attentes fondamentales que tous les vendeurs doivent définir et auxquelles ils doivent adhérer :

1. Fournir une réponse initiale au chercheur dans un délai de 1 à 3 jours ouvrables.
2. S'efforcer de remédier au problème dans un délai maximum de 90 jours.
3. Fournir au chercheur des mises à jour régulières sur le problème et sa résolution à intervalles réguliers.

En ce qui concerne la divulgation publique des problèmes découverts, il existe trois écoles de pensée :

Divulgation privée

Les détails du problème restent confidentiels. Le problème est corrigé discrètement et ni le chercheur ni le fournisseur ne font de déclaration publique.

• Pro : Si les détails du problème ne sont pas rendus publics, il y a moins de chances que quelqu'un d'autre le découvre et crée un exploit.
• Inconvénient : les personnes concernées par ce problème risquent de ne jamais en prendre conscience. C'est pourquoi il convient de se méfier des programmes VDP ou de prime aux bogues qui n'autorisent que la divulgation privée.

Full Disclosure (également connu sous le nom de Public Disclosure)

Les détails du problème sont publiés dès que le chercheur les découvre.

• Pour : met la pression sur le fournisseur pour qu'il prenne l'initiative et donne la priorité à un correctif.
• Inconvénient : les pirates informatiques peuvent utiliser un exploit avant que les fournisseurs n'aient la possibilité de publier un correctif.

Divulgation responsable (également connue sous le nom de Divulgation coordonnée)

Les détails de la faille ne sont divulgués, dans le cadre d'une collaboration entre le chercheur et l'éditeur, qu'une fois qu'un correctif a été mis à la disposition du public. Cette pratique est largement considérée comme la plus appropriée.

• Pro : L'équilibre entre la remédiation et la publication est atteint.
• Inconvénient : les pirates peuvent toujours utiliser les détails pour écrire un exploit pour les systèmes obsolètes et non gérés.

Est-il possible d'engager quelqu'un pour s'occuper de tout cela à ma place ?

C'est vrai ! Si vous cherchez l'aide d'experts, vous avez le choix entre plusieurs entreprises, HackerOne et Bugcrowd étant sans doute les deux plus populaires.

Datto dispose-t-il d'un VDP ?

Bien sûr ! Rendez-vous sur https://dat.to/vdp pour en savoir plus.

Des questions, des remarques, des préoccupations ? N'hésitezpas à m'écrire directement à l'adresse [email protected].