[Mailing hebdo] 25 janvier 2010 - De l'importance des failles

De l'importance des failles dans les logiciels, et pas dans le sol, même si l'actualité nous rappelle tristement qu'il en existe aussi dans la « vraie vie ». Cette semaine, des failles ont été découvertes et (ou) corrigées dans des programmes comme Windows, Internet Explorer, Mac OS X, etc. Et parfois, une incompréhension survient : comment une faille peut-elle être en place depuis 17 ans ou bien connue depuis des mois et pas encore corrigée ?

Plusieurs raisons expliquent les relatives lenteurs de certaines corrections. La première, c'est que la faille est très théorique, et — dans les faits — inutilisables. Il faudra bien la corriger un jour, mais si rien ni personne ne peut l'utiliser, ce n'est pas urgent. Une raison qui se base sur une hypothèse pas nécessairement vraie : « elle est inutilisable ». La seconde, c'est qu'il est impossible de la corriger facilement, c'est parfois le cas, et le travail nécessaire pour la correction peut prendre du temps. Et une autre raison (il y en a bien d'autres), c'est la procrastination. C'est l'art de faire demain ce que l'on pourrait faire aujourd'hui. Tout le monde est touché mais certaines personnes élèvent ce genre de chose au rang d'art. Corriger une faille n'est pas nécessairement quelque chose de trivial et tant que France 7 ou Canal - n'en parlent pas et qu'elle n'est pas utilisable à grande échelle, pourquoi la corriger ? Et au pire, les éditeurs d'antivirus corrigeront bien le problème...

Plus simplement, il faut bien comprendre que les programmes ne sont jamais parfaits et que les concepteurs de ces derniers non plus, surtout avec les innombrables personnes qui travaillent sur certains projets libres. Et — accessoirement — les failles non corrigées qui sont utilisées sont relativement rares : la majorité ont en fait été corrigées mais les vilains hackers profitent du fait que peu de gens mettent à jour leurs systèmes (pour des raisons divers et variées) pour profiter des failles. Oui, parce que les hackers sont aussi des procrastinateurs, dans un sens : pourquoi chercher une faille si le concepteur du logiciel peut nous la donner (en même temps que la correction qui ne sera pas appliquée par tous) ?

Cet édito est extrait de la newsletter hebdo de Tom's Hardware (cliquez ici pour la visualiser).
Pour vous abonner :

Si vous êtes inscrit, cliquez ici

Si vous n'êtes pas inscrit, inscrivez-vous ici