Le business des « zero day », ces failles inconnues des fabricants de logiciel - Lemonde.fr

Un véritable marché s’est constitué autour de ces vulnérabilités qui n’ont pas été encore rendues publiques. Avec ses zones d’ombre.

Un million d’euros. C’est la somme qu’a promise, lundi 21 septembre, l’entreprise Zerodium à qui trouvera une faille informatique dans iOS 9, le nouveau logiciel qui équipe les iPhones. Zerodium est une nouvelle venue sur le marché de la sécurité informatique, mais pas une inconnue. Emanation de l’entreprise française Vupen, elle est spécialisée dans les failles dites « zero day », qu’elle achète à des hackers puis revend au plus offrant, le plus souvent de grandes agences de renseignement occidentales qui cherchent un moyen d’espionner leurs cibles – Vupen, puis Zerodium, ont affirmé ne pas travailler avec des régimes autoritaires.

Qu’est-ce qu’une faille zero day ?

La somme d’un million de dollars est sans précédent, mais montre bien la valeur de ce type de faille dans un monde surconnecté. Une vulnérabilité zero day est une faille logicielle qui n’a pas encore été découverte par le fabriquant. « Elle peut ensuite être exploitée avant que le fabriquant ne s’en rende compte et la corrige en urgence. Cette attaque est alors nommée attaque zero day », selon les termes de l’entreprise de sécurité Symantec. « Il n’existe quasiment aucune défense contre une attaque zero day », expliquaient deux chercheurs des laboratoires de l’entreprise dans une étude publiée en 2012.

En savoir plus sur http://www.lemonde.fr/pixels/article/2015/09/23/le-business-des-zero-day-ces-failles-inconnues-des-fabricants-de-logiciel_4768638_4408996.html#mDKqfsIg4tMvDVUe.99