Community Trust ScoreVérifié
Charles Guillemet en a assez. Le CTO de Ledger s’est récemment exprimé publiquement pour critiquer sévèrement les chercheurs en sécurité qui se précipitent pour publier des découvertes de vulnérabilités avant que les fournisseurs aient réellement la possibilité de les corriger. Il a qualifié cela de « cultiver l’attention avec le risque de quelqu’un d’autre » — et il n’a pas tort d’être agacé.
Le timing est important. L’intelligence artificielle a considérablement facilité la détection des bugs logiciels, ce qui signifie que la fenêtre entre la découverte et l’exploitation potentielle se réduit rapidement. Le point de vue de Guillemet est assez simple : si un chercheur peut trouver une faille en quelques heures à l’aide d’outils d’IA, un acteur malveillant le peut probablement aussi. Publier avant qu’un correctif n’existe ne fait pas qu’embarrasser le fournisseur — cela fournit aux criminels une feuille de route.
Le débat de la fenêtre de 90 jours
Guillemet a fait référence à une fenêtre de divulgation de 90 jours comme une sorte de norme industrielle — la période que les fournisseurs devraient avoir pour résoudre une vulnérabilité signalée avant que les chercheurs ne la rendent publique. Mais il a pris soin de ne pas considérer ce chiffre comme sacré. La gravité compte. La complexité compte. Une faille critique dans le firmware nécessitant une mise à jour complète du produit ne peut pas être corrigée dans le même délai qu’un petit bug logiciel, et Guillemet l’a essentiellement dit.
Jan Komárek de Trezor l’a soutenu. Selon Komárek, la période de 90 jours n’est pas seulement un délai de grâce accordé aux fournisseurs — c’est un engagement mutuel. Les chercheurs s’engagent à rester silencieux. Les fournisseurs s’engagent à agir rapidement. Si le correctif n’arrive pas dans le délai convenu, le chercheur est libre de publier. C’est l’accord. Komárek a exhorté les chercheurs à contacter d’abord les entreprises, à fixer un calendrier ensemble, et à ne rendre public que si le fournisseur ne livre pas.
C’est un cadre raisonnable. Et ce n’est pas nouveau — la divulgation coordonnée est une pratique standard dans la cybersécurité d’entreprise depuis des années. Mais l’espace des portefeuilles matériels crypto est encore en train de rattraper son retard, et les enjeux sont suffisamment élevés pour que le décalage commence à se faire sentir.
Des pertes réelles, des violations réelles
Guillemet et Komárek s’expriment dans un contexte assez sombre. Les portefeuilles Coldcard ont subi des vols dépassant les 100 millions de dollars. Ce n’est pas une erreur d’arrondi — c’est une perte à neuf chiffres liée à des défaillances de sécurité des portefeuilles matériels. Et Trezor lui-même a été touché lorsqu’une violation de données chez son fournisseur de transport a exposé les informations personnelles de dizaines de milliers de clients. Pas les fonds des portefeuilles, mais des noms, adresses, coordonnées — le genre de données qui rend les attaques de phishing beaucoup plus ciblées et dangereuses.
Ces deux incidents à eux seuls démontrent pourquoi les pratiques de divulgation bâclées sont réellement coûteuses. Ce n’est pas hypothétique. L’argent est parti. Les données sont là dehors.
Les portefeuilles matériels sont censés être le moyen le plus sûr de stocker des cryptos. Ils sont hors ligne, à l’abri des piratages d’échanges et des exploits de navigateurs. Mais ils ne sont pas à l’abri des vulnérabilités logicielles, des violations de la chaîne d’approvisionnement, ou du type d’ingénierie sociale qui devient beaucoup plus facile lorsqu’un attaquant connaît déjà votre nom et votre adresse de livraison. La violation de Trezor est un bon exemple de la façon dont la sécurité peut échouer à un niveau qui n’a rien à voir avec la cryptographie.
Ce qui est demandé aux chercheurs
La demande de Ledger et Trezor est assez claire. Vous trouvez un bug ? Ne le tweetez pas. Ne publiez pas un compte-rendu. Contactez le fournisseur en privé, convenez d’un calendrier, et donnez-lui une véritable chance de le corriger. S’ils traînent ou disparaissent, alors publiez. C’est juste.
Ce que Guillemet critique, c’est le chercheur qui trouve quelque chose, le garde juste assez longtemps pour écrire un billet de blog dramatique, puis le publie publiquement sans aucune coordination. Cette approche attire l’attention. Elle obtient probablement des offres d’emploi. Mais elle laisse aussi les utilisateurs exposés pendant l’intervalle entre la divulgation et le déploiement du correctif — et cet intervalle peut durer des semaines ou des mois selon la complexité du correctif.
L’angle de l’IA rend cela plus urgent. Les chercheurs en sécurité disposent désormais d’outils capables de scanner les bases de code et de signaler les vulnérabilités potentielles à une vitesse qui n’était pas possible il y a quelques années. C’est vraiment utile. Mais cela signifie aussi que le volume de vulnérabilités découvertes augmente, et tous les chercheurs trouvant des bugs avec l’aide de l’IA n’ont pas la même formation éthique que quelqu’un qui a passé des années à travailler dans la sécurité d’entreprise. Certains d’entre eux ne pensent probablement pas beaucoup à la divulgation coordonnée.
Le cadrage de Komárek mérite réflexion. Il veut que les chercheurs voient la fenêtre de 90 jours comme un partenariat, pas comme une tactique de retardement. Les fournisseurs ne demandent pas le silence pour toujours — ils demandent suffisamment de temps pour réellement protéger leurs utilisateurs. C’est différent.
L’industrie crypto au sens large a eu une relation compliquée avec la transparence en matière de sécurité. La divulgation complète a parfois été utilisée pour faire pression publiquement sur les entreprises lorsque les canaux privés échouaient. C’est compréhensible. Mais Guillemet et Komárek plaident pour une coordination par défaut d’abord, la publicité ensuite — et étant donné les 100 millions de dollars de pertes de Coldcard en toile de fond de cette conversation, il est difficile de rejeter cet argument.
Aucun détail n’a été donné sur la question de savoir si Ledger ou Trezor prévoient de formaliser leurs politiques de divulgation au-delà de ce que Guillemet et Komárek ont dit publiquement. On ne sait pas si un cadre commun est en cours. Pour l’instant, c’est un appel public à un meilleur comportement — dirigé vers une communauté de recherche qui avance plus vite que jamais, en partie grâce aux mêmes outils d’IA qui rendent le travail de tout le monde plus difficile.
La violation du fournisseur de transport de Trezor a exposé les données personnelles de dizaines de milliers de clients.
Questions Fréquentes
Qu’a dit le CTO de Ledger à propos de l’IA et du rapport de bugs ?
Charles Guillemet a déclaré que l’IA facilite la découverte et l’exploitation des bugs logiciels, et a critiqué les chercheurs qui publient leurs découvertes avant que les fournisseurs puissent les corriger, qualifiant cela de « cultiver l’attention avec le risque de quelqu’un d’autre ».
Qu’est-ce que la fenêtre de divulgation de 90 jours mentionnée par Ledger et Trezor ?
Guillemet et Jan Komárek de Trezor ont décrit une période de 90 jours comme un engagement mutuel — les fournisseurs disposent de cette fenêtre pour corriger les bugs signalés avant que les chercheurs ne publient, avec une flexibilité selon la gravité et la complexité.
Quels incidents de sécurité ont motivé cette discussion ?
Les portefeuilles Coldcard ont subi des vols dépassant les 100 millions de dollars, et une violation de données chez le fournisseur de transport de Trezor a exposé les informations personnelles de dizaines de milliers de clients.
Pourquoi c'est important
La déclaration de Charles Guillemet soulève des préoccupations essentielles concernant l'équilibre entre la responsabilité éthique dans la recherche en sécurité et les impératifs commerciaux des entreprises technologiques. À une époque où l'intelligence artificielle transforme rapidement le paysage de la cybersécurité, la précipitation à divulguer des vulnérabilités sans permettre aux fournisseurs de réagir adéquatement pourrait exposer davantage les utilisateurs à des risques. Cette dynamique peut également influencer la confiance des investisseurs et des utilisateurs dans les solutions de stockage de cryptomonnaies, un secteur déjà fragilisé par des enjeux de sécurité récurrents.
