La bourse de bug de Microsoft fête ses 10 ans. Ces types de récompenses rendent-ils le code plus sûr?

Le programme de récompenses pour les bogues de Microsoft a célébré son dixième anniversaire cette année et a versé 63 millions de dollars à des chercheurs en sécurité au cours de la première décennie – avec 60 millions de dollars accordés à des chasseurs de bogues au cours des cinq dernières années selon Redmond. Ces jours-ci, le programme de divulgation et de récompense de vulnérabilités semble être une évidence pour une immense entreprise de logiciels, mais il y a 10 ans, « l’initiative de récompense pour les bogues n’était pas exempte de résistance interne », a rappelé Aanchal Gupta, vice-présidente corporate et deputy CISO de Microsoft. Dans un article cette semaine commémorant le premier anniversaire du programme, Gupta raconte comment il a commencé avec des rapports de vulnérabilités dans une version préliminaire d’Internet Explorer 11 et l’exploitation de failles dans Windows 8.1. En 2013, la récompense pour les faiblesses trouvées dans IE en version préliminaire était particulièrement novatrice, a-t-elle ajouté. « Bien que nous ne soyons pas les pionniers à offrir des incitations monétaires à des tiers pour signaler des vulnérabilités dans les logiciels, nous étions parmi les premiers à inciter à la découverte de bogues dans les produits en bêta ou en version préliminaire », a écrit Gupta. « Notre conviction était que l’identification et la résolution précoces des bogues, de préférence avant la sortie générale du produit, sont primordiales pour la protection des clients ». Gupta a également mis en évidence la forte croissance de l’initiative de récompense pour les bogues, en particulier depuis 2018. Par exemple, en 2019, Microsoft « a plus que doublé le nombre de rapports de bogues, de participants au programme et de récompenses par rapport à l’année précédente », a-t-elle écrit. Un an plus tard, elle a attribué plus de 13 millions de dollars à plus de 300 chercheurs en sécurité répartis dans 15 catégories et a également attribué des prix plus importants pour des problèmes plus graves.