Microsoft n’a vraiment pas apprécié qu’un chercheur dévoile une faille de Windows 11

Vous qui nous lisez régulièrement, vous savez comment fonctionne la découverte d’une faille de sécurité sur Windows 11 (par exemple).

Soit les développeurs de Microsoft la trouvent, soit c’est une entité ou une personnes externe à l’entreprise qui y parvient. Cette dernière prévient alors la firme qui développe puis déploie un correctif.

Mais parfois, ça se passe un peu différemment. Le spécialiste en cybersécurité Nightmare Eclipse s’aperçoit qu’il est très simple de contourner BitLocker, le programme chargé du chiffrement de Windows 11.

En guise de « preuve de concept » il publie les fichiers permettant l’exploitation de la faille sur GitHub et explique comment elle fonctionne. Rapidement, Microsoft publie un script pour y remédier. Fin de l’histoire ? Pas tout à fait.

Pénalisé par Microsoft pour avoir dévoilé une vulnérabilité de Windows 11 ?

Sur la page dédiée à la faille, la firme de Redmond indique : « La démonstration de principe de cette faille a été rendue publique, en violation des bonnes pratiques en matière de gestion coordonnée des vulnérabilités ». Elle ne cite pas Nightmare Eclipse.

Pourtant, il semble que Microsoft lui en veuille personnellement à cette personne. Dans un billet de blog, cette dernière écrit : « Prétendre que j’ai enfreint les bonnes pratiques en matière de CVD constitue une atteinte à ma réputation personnelle ». En ajoutant qu’elle aurait reçu des menaces de diffamation en privé avant cela.

Ce n’est pas tout : « Vous avez intentionnellement révoqué mon accès à mon compte MSRC [Microsoft Security Response Center, ndlr], que j’utilisais pour vous signaler des vulnérabilités. Lorsque je vous ai interrogé à ce sujet, vous avez […] complètement supprimé le compte, malgré mes multiples tentatives pour obtenir une explication. Aucune de ces demandes n’a reçu de réponse de la part de la direction du MSRC ».

L’affrontement est désormais public et chacun semble se renvoyer la balle. Nightmare Eclipse dit prendre la déclaration de Microsoft « très à cœur ».