18
Principes de sécurité du système d’information
Première partie
Organisation des CERT
Les vulnérabilités publiées par les CERT sont relatives à toutes sortes de systèmes ; leur publication constitue une incitation forte pour que les industriels
concernés (les producteurs du système ou du logiciel le plus souvent) les corrigent.
Certains tentent aussi de ralentir le travail des CERT, dont ils aimeraient bien
qu’ils ne dévoilent pas leurs faiblesses.
Le premier CERT a vu le jour à l’université Carnegie-Mellon de Pittsburgh en
novembre 1988, sur une initiative de la DARPA (Defense Advanced Research Projects Agency) consécutive à la propagation du ver de Morris, la première attaque,
involontaire 1 mais de grande envergure, contre l’Internet. En 2006 la France dispose de trois CERT : le CERTA 2 pour les besoins des administrations et services
publics, le CERT Renater 3 qui s’adresse aux universités et centres de recherche, le
CERT-IST 4 qui s’adresse au monde industriel. En fait la coopération au sein de
la communauté mondiale des CERT est assez étroite, surtout en période de crise.
Cette communauté est concrétisée par l’existence d’un Centre de Coordination
des CERT 5 , hébergé par l’université Carnegie Mellon à Pittsburgh en Pennsylvanie.
La publication des avis des CERT est une contribution majeure et vitale à la
sécurité des systèmes d’information. Leur volume est tel que le dépouillement,
qui ne peut être confié qu’à des ingénieurs réseau de haut niveau, représente un
travail considérable.
Faut-il publier les failles de sécurité ?
Un débat s’est engagé sur le bien-fondé de certains avis, et sur la relation qu’il
pourrait y avoir entre le nombre d’avis concernant un logiciel ou un système donné
et sa qualité intrinsèque. Les détracteurs des logiciels libres ont mis en exergue le
volume très important d’avis des CERT qui concernaient ceux-ci (par exemple
Linux, le serveur Web Apache, Sendmail, etc.) pour en inférer leur fragilité. Leurs
défenseurs ont riposté en expliquant que les avis des CERT concernaient par dé1 Du moins à en croire son auteur Robert Tappan Morris.
2 Cf. http://www.certa.ssi.gouv.fr/
3 Cf. http://www.renater.fr/rubrique.php3?id_rubrique=19
4 Cf. http://www.cert-ist.com/
5 Cf. http://www.cert.org/
Principes de sécurité du système d’information
Première partie
Organisation des CERT
Les vulnérabilités publiées par les CERT sont relatives à toutes sortes de systèmes ; leur publication constitue une incitation forte pour que les industriels
concernés (les producteurs du système ou du logiciel le plus souvent) les corrigent.
Certains tentent aussi de ralentir le travail des CERT, dont ils aimeraient bien
qu’ils ne dévoilent pas leurs faiblesses.
Le premier CERT a vu le jour à l’université Carnegie-Mellon de Pittsburgh en
novembre 1988, sur une initiative de la DARPA (Defense Advanced Research Projects Agency) consécutive à la propagation du ver de Morris, la première attaque,
involontaire 1 mais de grande envergure, contre l’Internet. En 2006 la France dispose de trois CERT : le CERTA 2 pour les besoins des administrations et services
publics, le CERT Renater 3 qui s’adresse aux universités et centres de recherche, le
CERT-IST 4 qui s’adresse au monde industriel. En fait la coopération au sein de
la communauté mondiale des CERT est assez étroite, surtout en période de crise.
Cette communauté est concrétisée par l’existence d’un Centre de Coordination
des CERT 5 , hébergé par l’université Carnegie Mellon à Pittsburgh en Pennsylvanie.
La publication des avis des CERT est une contribution majeure et vitale à la
sécurité des systèmes d’information. Leur volume est tel que le dépouillement,
qui ne peut être confié qu’à des ingénieurs réseau de haut niveau, représente un
travail considérable.
Faut-il publier les failles de sécurité ?
Un débat s’est engagé sur le bien-fondé de certains avis, et sur la relation qu’il
pourrait y avoir entre le nombre d’avis concernant un logiciel ou un système donné
et sa qualité intrinsèque. Les détracteurs des logiciels libres ont mis en exergue le
volume très important d’avis des CERT qui concernaient ceux-ci (par exemple
Linux, le serveur Web Apache, Sendmail, etc.) pour en inférer leur fragilité. Leurs
défenseurs ont riposté en expliquant que les avis des CERT concernaient par dé1 Du moins à en croire son auteur Robert Tappan Morris.
2 Cf. http://www.certa.ssi.gouv.fr/
3 Cf. http://www.renater.fr/rubrique.php3?id_rubrique=19
4 Cf. http://www.cert-ist.com/
5 Cf. http://www.cert.org/