Photo : CVE
Le programme de sécurité CVE, utilisé par des entreprises comme Apple pour suivre les vulnérabilités dans les produits matériels et logiciels, fait face à une menace immédiate après la suppression de son financement fédéral. En effet, Apple n’est pas seule ; de nombreux géants de la technologie comptent sur le programme des Common Vulnerabilities and Exposures (CVE) pour identifier les failles de sécurité dans leurs produits.
Mise à jour : Les membres du conseil d’administration de CVE ont réagi en annonçant la création d’une nouvelle organisation à but non lucratif, la CVE Foundation, qui vise à poursuivre le travail de prévention des vulnérabilités.
Qu’est-ce que le programme de sécurité CVE ?
Le programme CVE fournit un moyen simple et efficace pour quiconque puisse signaler une vulnérabilité de sécurité qu’il a découverte dans un produit technologique. Une fois le problème signalé, il se voit attribuer un identifiant unique, permettant ainsi aux autres de savoir que la question a été soulevée et d’effectuer leurs propres investigations pour aider l’entreprise concernée à évaluer la gravité du problème.
Lorsque plusieurs entreprises doivent coopérer sur une vulnérabilité, le système CVE facilite cette coordination. Des entreprises comme Apple, Google et Microsoft comptent sur ce système, rendant sa survie d’autant plus cruciale.
Suppression des financements fédéraux
La MITRE Corporation a annoncé hier que son financement fédéral avait été supprimé avec effet immédiat. Selon Lukasz Olejnik, un chercheur en sécurité, cette décision entraînera un « chaos total » dans le domaine de la cybersécurité.
« En réduisant ce qui revient à des coûts dérisoires, l’administration Trump va effectivement (du moins temporairement) paralyser le système mondial de cybersécurité — CVE […] Cela entraînera un effondrement de la coordination entre les fournisseurs, les analystes et les systèmes de défense — personne ne pourra certifier qu’il fait référence à la même vulnérabilité. Total chaos, et un affaiblissement soudain de la cybersécurité dans son ensemble, » a-t-il déclaré.
Financement également supprimé pour CWE
Comme l’a mentionné MITRE, cette coupure concerne aussi le programme Common Weakness Enumeration (CWE), qui permet d’identifier les faiblesses courantes dans les logiciels et matériels pouvant avoir des implications pour la sécurité. Ce programme sert de guide aux entreprises technologiques pour éviter d’introduire des failles de sécurité dans leurs produits dès le départ.
L’avis de la communauté tech
Les programmes CVE et CWE sont à la fois extrêmement efficaces et coûteux. Supprimer leur financement semble être une décision insensée.
Dans une réponse anticipée à cette situation, le conseil d’administration de CVE a maintenant annoncé la formation de la CVE Foundation, qui se consacrera à la poursuite de la mission de fourniture d’une identification de vulnérabilités de haute qualité et au maintien de l’intégrité et de la disponibilité des données CVE à l’échelle mondiale.
La Fondation a déclaré qu’elle fournirait bientôt plus d’informations sur ses plans, alors que le soutien financier deviendra essentiel, et il est fort probable qu’Apple figure parmi les entreprises technologiques prêtes à offrir de l’aide.
