Le Pentagone a annoncé qu’un programme particulier de test de sa sécurité serait prochainement lancé. Les experts en sécurité sont ainsi invités à s’enregistrer pour éprouver les systèmes de l’installation militaire. Cependant, les conditions de participation sont strictes et limitées.
« Hack the Pentagon » : c’est par ce nom assez provocateur que le Pentagone, siège du Département américain de la Défense, convie les professionnels de la sécurité à tester la défense de ses systèmes. Mais il ne s’agit pas ici d’un remake quelconque d’un film où un hacker s’écrierait « Je suis dedans ! ». Les conditions de participation sont particulièrement restrictives, et il est clair que lesdites hackers ne pourront pas faire n’importe quoi.
Être Américain et propre sur soi
Tout d’abord, les personnes qui s’inscriront à ce programme devront obligatoirement être américaines. Pas question de faire participer le moindre expert qui se trouverait hors des frontières des États-Unis. Ensuite, les inscrits devront se soumettre à une vérification de leurs activités et montrer patte blanche. L’objectif est d’épurer au maximum la liste des prétendants pour ne garder que ceux dont le comportement est jugé correct.
Enfin, et c’est sans doute le point le plus important, les hackers ne pourront pas viser n’importe quel système du Pentagone. Les candidats se verront ainsi attribuer un département précis pour en éprouver les défenses. On imagine que le Pentagone mettra uniquement en avant ceux pour lesquels il pourrait exister un risque. Le programme commencera quant à lui dès le mois prochain.
Il s'agit donc globalement d'un bug bounty, c'est-à-dire une recherche de problèmes à grande échelle, avec des récompenses financières à la clé. Le Pentagone ne donne par contre aucun chiffre. Ce sera également le premier d'un programme « conçu pour tester et trouver des failles dans les applications, sites et réseaux du département ».
Se confronter à l'imprévu
Car c’est là toute la question : pourquoi le Pentagone se lance-t-il dans un tel programme ? Le puissant Département de la Défense dispose sans aucun doute déjà d’une armada d’experts, sans parler des multiples audits de sécurité qui doivent mettre en avant les faiblesses. Seulement voilà, il est impossible de couvrir tous les cas de figure possibles, et c’est certainement cette réalité qui fait réagir le Pentagone.
L’idée est probablement de s’appuyer sur des experts extérieurs pour vérifier que les systèmes résistent à des tentatives auxquelles les responsables n’ont pas pensé. Les États-Unis sont conscients que certaines infrastructures primordiales ne sont pas assez protégées. On a pu le voir sur la seule année écoulée, plusieurs piratages ont permis d’importantes fuites de données, comme le vol des informations concernant plus de 20 000 agents du FBI ou l’attaque contre l’Office of Personnel Management.
Commentaires (32)
#1
Il a pas déjà été piraté par un chercheur d’E.T. ?
#2
#3
Cela ressemble beaucoup aux programmes FB ou Google finalement. Après je vois plus des chercheurs en sécurité d’université participer plus à ce genre de programme. Même si l’article ne fait pas mentions de récompenses prévues par faille trouvée, cela fait bien sur le cv. ;)
#4
Le pentagone chercherait aussi à recruter, et donc repérer les profils intéressants via cet évènement “public”.
#5
avec des récompenses financières à la clé. Le Pentagone ne donne par contre aucun chiffre.
-Et depuis ce jour là, on n’a plus de nouvelle de Jean-François…
#6
Totalement d’accord, c’est comme si je te disais : tiens tu vas pouvoir tester la sécu de chez moi, mais uniquement si tu es de ma famille, en plus tu pourras juste tenter d’ouvrir la fenêtre qui a des barreaux devant et un volet en titane derrière.
#7
Skynet est online et ils sont sûr qu’il bloquera tout. Ou pire ils ont perdu le contrôle et demande de l’aide de façon détournée. #okjesors 
" />
" />
#8
#9
Je préfère largement cette approche personnellement, surtout si les risques sont vraiment grands.
Quand c’est sur un navigateur, t’en as presque rien à faire, personne va mourir, mais le pentagone? je préfère appeler la famille.
#10
pfffff trop facile, j’ai vu comment il faut faire dans ncis, il faut injecter un code pirate en passant par le port agp du firewall
#11
#12
#13
Pas si facile que ça, si le firewall s’appelle open office.
#14
Il ne reste plus qu’à encadrer les types d’attaques autorisées.
" />
#15
#16
« Hé Bill, on est dans la merde ! Je me rappelle plus du mot de passe root ! »
#17
#18
Anéfé.
" />
#19
Est-ce que les ordinateurs des hackers seront piégés au C4 ?
#20
Non, mais les participants sont obligés de se faire pucer un microchip RFID.
#21
les experts cyber reprennent le flambeau dans la surenchère de piratage qui semble facile
#22
Ça me fait penser à une grosse opération marketing: Voyez comme notre système est inviolable.
Mais la tentative est réservé au résident américain, sélectionné en maternelle. Et il faut pirater un serveur auquel on a débranché la prise de courant.
Je les sens bien sûr d’eux.
#23
#24
je pense que si. Certains se disant que dans la série ils font ca en deux secondes, alors pouruoi le FBI n’y arrive pas en plusieurs semaines/mois
#25
#26
oui enfin t’as l’impression que tout a des trous béants et qu’ils connaissent toutes les failles
" />
#27
#28
c’est un alias
" />
#29
Il ne faut pas citer de marque, donc comme ça aucun risque
" />
#30
malin… c’est vrai qu’ils rigolent pas avec le ©
#31
#32
ah je comprends mieux, l’adrénaline leur donne des pouvoirs surhumains et ils détectent ainsi toutes les failles
" />
" />
Pas totalement, il a des valeurs