Une vulnérabilité est une faiblesse ; un exploit est ce qui en abuse. Une vulnérabilité est une faille dans un logiciel, un matériel, une configuration ou un processus qui pourrait permettre à quelqu'un de violer la sécurité d'un système. Elle existe que quelqu'un la remarque ou non. Un exploit est le code, les données ou la séquence d'étapes concrète qui tire réellement parti de cette faille, et le fait de l'exécuter constitue l'exploitation. Une porte non verrouillée est la vulnérabilité, savoir qu'il faut essayer la poignée est l'exploit, et franchir le seuil est l'exploitation.
Trois niveaux que le langage courant confond#
On dit "une vulnérabilité" pour désigner de nombreuses choses différentes. Décomposer l'idée en trois niveaux permet de clarifier ce que décrit réellement un rapport de bogue, un correctif ou un outil d'attaque.
| Niveau | Ce que c'est | Exemple |
|---|---|---|
| Faiblesse | Un schéma de faille général qui ne cesse de réapparaître | Un programme qui fait confiance à des entrées qu'il ne vérifie jamais |
| Vulnérabilité | Ce schéma présent dans un produit spécifique | Un formulaire de connexion particulier qui transmet des entrées brutes à une base de données |
| Exploit | La technique opérationnelle contre cette instance | Une chaîne d'entrée fabriquée qui fait renvoyer au formulaire le mot de passe de chaque utilisateur |
Une faiblesse est une catégorie d'erreur. Une vulnérabilité en est une instance réelle. Un exploit est la preuve que cette instance peut faire l'objet d'un abus.
La vie d'une faille, de l'introduction à la correction#
La plupart des vulnérabilités suivent le même parcours. L'endroit où un attaquant entre dans cette chronologie détermine la dangerosité de la faille.
- Introduite. Une erreur de codage, une valeur par défaut faible ou une mauvaise configuration entre dans le système, souvent inaperçue pendant des années.
- Découverte. Un chercheur, un éditeur ou un attaquant la trouve. Savoir qui la trouve en premier compte énormément.
- Divulguée. La faille est signalée, généralement à l'éditeur en premier dans le cadre d'une divulgation coordonnée, afin qu'un correctif puisse être préparé avant que les détails ne deviennent publics.
- Corrigée. L'éditeur publie une correction.
- Remédiée. Chaque opérateur concerné installe réellement ce correctif, ce qui peut prendre des semaines ou ne jamais arriver.
La fenêtre zero-day#
Un zero-day est une vulnérabilité que les attaquants peuvent exploiter avant qu'un correctif n'existe, de sorte que les défenseurs ont eu zéro jour pour se préparer. L'intervalle le plus dangereux est l'écart entre les étapes 2 et 4 ci-dessus : une faille est connue d'au moins un attaquant mais ne dispose d'aucune correction disponible. Même après la publication d'un correctif, une seconde fenêtre reste ouverte entre les étapes 4 et 5, car les systèmes non corrigés demeurent exploitables longtemps après la diffusion de la correction. C'est pourquoi la rapidité d'application des correctifs est considérée comme un indicateur de sécurité essentiel plutôt que comme une maintenance de routine.
Nommer les failles pour que tout le monde parle de la même chose#
Deux catalogues publics permettent au secteur de parler un langage commun. La CVE (Common Vulnerabilities and Exposures) attribue un identifiant unique à chaque vulnérabilité spécifique publiquement connue, de sorte qu'une même faille porte un seul nom partout. La CWE (Common Weakness Enumeration) classe les types de faiblesses sous-jacentes, les schémas récurrents du premier tableau. Une entrée CVE renvoie généralement à la catégorie CWE à laquelle elle appartient, reliant l'instance unique à l'erreur générale, même si certaines entrées laissent cette classification indéterminée.
Où cela se situe parmi les fondamentaux#
Une vulnérabilité devient un risque lorsqu'elle réside sur quelque chose qui vaut la peine d'être protégé et que quelque chose peut l'atteindre, qu'il s'agisse d'un attaquant délibéré ou d'un accident, comme une entrée malformée ou un réglage erroné qui déclenche la faille. Elle fait partie des actifs et de la surface d'attaque que vous exposez, l'exploitation est ce que tentent les menaces et acteurs malveillants, un exploit réussi compromet un ou plusieurs objectifs de la triade CIA, et les contrôles et contre-mesures existent pour combler la faille ou en atténuer l'impact.