La récompense de Microsoft pour les bogues fête son 10e anniversaire. Ces types de récompenses rendent-ils le code plus sécurisé?

Le programme de primes de Microsoft pour les bogues fête cette année son dixième anniversaire et a versé 63 millions de dollars à des chercheurs en sécurité au cours de la première décennie, 60 millions de dollars étant alloués à des chasseurs de bogues au cours des cinq dernières années selon Redmond. Ces jours-ci, le programme de divulgation et de récompense de vulnérabilités semble évident pour une énorme entreprise de logiciels, mais il y a 10 ans, « l’initiative de primes pour les bogues n’était pas exempte de résistance interne », a rappelé Aanchal Gupta, vice-présidente exécutive et CISO adjointe de Microsoft. Dans un article publié cette semaine à l’occasion du 10e anniversaire du programme, Gupta raconte comment il a commencé avec des rapports de vulnérabilités dans une version préliminaire d’Internet Explorer 11 et l’exploitation de failles dans Windows 8.1. En 2013, la récompense pour les failles trouvées dans IE en prévisualisation était particulièrement novatrice, a-t-elle ajouté. « Bien que nous ne soyons pas des pionniers en matière d’incitations monétaires pour que des tiers signalent des vulnérabilités logicielles, nous étions parmi les premiers à inciter la découverte de problèmes dans les produits en bêta ou en version préliminaire », a écrit Gupta. « Notre conviction était que l’identification et la résolution précoces des bogues, de préférence avant la sortie générale du produit, sont primordiaux pour la protection des clients ». Gupta a également mis en lumière la croissance explosive du programme de primes pour les bogues, en particulier depuis 2018. Par exemple, en 2019, Microsoft « a plus que doublé le nombre de rapports de bogues, de participants au programme et de prix par rapport à l’année précédente », a-t-elle écrit. Un an plus tard, elle a attribué plus de 13 millions de dollars à plus de 300 chercheurs en sécurité répartis dans 15 catégories, et a également attribué de plus gros prix pour les problèmes plus graves.