"Bug bounty" : France identité propose une prime pour se faire hacker

Une annonce surprenante qui encourage à pirater l’application France Identité, celle de la carte d’identité numérique, circule depuis quelques jours, en ce début du mois de mars. Non seulement c’est légal, mais ça peut rapporter 25 000 euros, alors qu’en général, ce sont des ennuis que rapporte le piratage informatique. Ces dernières années, il est de plus en plus fait appel à de "gentils pirates" pour jouer les chasseurs de primes et venir infiltrer les systèmes contre rémunération. C’est ce qu’on appelle un "bug bounty", une "prime au bug trouvé", où chaque faille de sécurité sera payée selon son importance.

Sur l’application France Identité, par exemple, si l’on arrive à enregistrer une fausse carte d’identité, on recevra 25 000 euros. En revanche, si c’est un bug quelconque, cela ne rapportera que 100 euros. C’est donc un très bon moyen d’améliorer la sécurité d’une plate-forme, en mettant au défi des milliers de petits génies du piratage.

Une pratique devenue courante

Il y a certes un risque de tomber sur des personnes mal intentionnées, mais c’est extrêmement rare. La plupart sont des chercheurs en sécurité qui aiment les défis, qui le font par passion et qui s’amusent déjà à chercher des failles pendant leur temps libre. L’intérêt de la prime, c’est justement de dissuader les plus mal intentionnés, d’essayer de gagner de l’argent avec ce qu’ils auraient trouvé. Aujourd’hui, c’est une pratique devenue courante chez les géants sur internet. En un an, Google a, par exemple, payé plus de 12 millions de dollars en primes diverses pour améliorer la sécurité de ses systèmes. Et l’un des records, c’est une prime de deux millions de dollars pour avoir découvert une faille sur le réseau Polygon, un réseau utilisé pour les cryptopaiements. Vous imaginez l’enjeu.

Il ne faut pas croire pour autant que le piratage peut rapporter gros. Très peu de hackers en vivent. Encore une fois, la plupart sont des professionnels qui le font sur leur temps libre. En fait, pour les entreprises et pour le gouvernement, c’est surtout une façon de garantir la sécurité de ses systèmes à moindre coût. Pourquoi ? Parce qu’on fait travailler des milliers de spécialistes gratuitement. Et on ne les paie qu’au résultat, pas au temps passé. On le rappelle : l’écrasante majorité ne trouve aucune faille, donc ne touche pas le moindre centime. Finalement, c’est la même logique que celle des chasseurs de prime.