Vulnérabilité zero-day

Une vulnérabilité zero-day est une faille dans un logiciel qui vient d'être découverte et pour laquelle aucun correctif n'existe encore. Le nom vient du nombre de jours dont les auteurs du code ont disposé pour la réparer. Zéro. Ce n'est pas le signe d'un logiciel mal choisi. Toute application est faite de morceaux écrits par d'autres, et la faille se trouve presque toujours dans l'un de ces morceaux.

Pensez à la serrure de votre porte. Un matin, quelqu'un montre qu'un certain modèle s'ouvre avec une carte pliée. Votre porte a ce modèle. Vous n'avez rien fait de travers, et la porte reste ouverte jusqu'à ce que le fabricant sorte une nouvelle pièce. Le logiciel, c'est pareil, sauf que la nouvelle fait le tour de la planète en quelques heures et que les voleurs la lisent aussi.

Le site web est le cas facile. L'entreprise qui s'en occupe remplace le morceau, et chaque visiteur reçoit la version corrigée dès l'ouverture de la page. L'application mobile est plus lente, et cela prend les entreprises de court. Le correctif doit être fabriqué, envoyé à Apple et Google, examiné par eux, puis téléchargé par chaque employé qui a l'application. L'examen prend un jour ou plusieurs. Certains n'installeront la mise à jour que des semaines plus tard. La même faille reste donc ouverte bien plus longtemps sur un téléphone que sur un site.

Posez les questions à votre prestataire avant l'incident, pas après. Comment apprenez-vous qu'un morceau que vous utilisez comporte une faille. En combien de temps sortez-vous un correctif, en heures et en jours plutôt qu'en promesses vagues. Pouvez-vous désactiver une fonction de votre côté sans passer par une publication sur les boutiques. Tenez-vous la liste de tous les morceaux qui composent l'application. Cette liste fait la différence entre vérifier une page et chercher pendant une semaine. Linkysoft en tient une pour chaque application qu'elle construit, et c'est la première chose que nous ouvrons quand une alerte tombe.

Rien de tout cela ne supprime le risque, et un prestataire qui prétend le contraire vous vend quelque chose. Ce que vous maîtrisez, c'est le temps entre l'annonce et la réparation. C'est pour cela que la vitesse de correction a sa place dans le contrat, et que Linkysoft la traite comme une partie du travail de sécurité sur chaque application mobile qu'elle livre.