Les 10 ans du programme de récompenses de Microsoft pour les bogues. Ces types de récompenses rendent-ils le code plus sûr?

Le programme de récompenses pour les bogues de Microsoft a fêté son dixième anniversaire cette année et a versé 63 millions de dollars à des chercheurs en sécurité au cours de la première décennie, 60 millions de dollars étant attribués à des chasseurs de bogues au cours des cinq dernières années selon Redmond. Ces jours-ci, le programme de divulgation et de récompense de vulnérabilités semble une évidence pour une entreprise de logiciels gigantesque, mais il y a 10 ans, « le programme de récompenses pour les bogues n’était pas exempt de résistance interne », a rappelé Aanchal Gupta, vice-présidente des logiciels chez Microsoft et deputy CISO. Dans une note publiée cette semaine à l’occasion du 10e anniversaire du programme, Gupta raconte comment il a commencé avec des rapports de vulnérabilités dans une version préliminaire d’Internet Explorer 11 et l’exploitation de failles dans Windows 8.1. En 2013, la récompense pour les bogues trouvés dans IE en version préliminaire était particulièrement novatrice, a-t-elle ajouté. « Bien que nous ne soyons pas les pionniers à offrir des incitations monétaires à des tiers pour signaler des vulnérabilités de sécurité logicielles, nous étions parmi les premiers à inciter à la découverte de bogues dans des produits en bêta ou en version préliminaire », a écrit Gupta. « Notre conviction était que l’identification et la résolution précoces des bogues, de préférence avant la sortie générale du produit, sont primordiales pour la protection des clients. » Gupta a également mis en évidence la croissance explosive du programme de récompenses pour les bogues, en particulier depuis 2018. Par exemple, en 2019, Microsoft a « plus que doublé le nombre de rapports, de participants et de récompenses par rapport à l’année précédente », a-t-elle écrit. Un an plus tard, elle a attribué plus de 13 millions de dollars à plus de 300 chercheurs en sécurité répartis dans 15 catégories et a également attribué des prix plus élevés pour les problèmes plus graves.