Google a pr\u00e9sent\u00e9 jeudi un ensemble d’initiatives visant \u00e0 am\u00e9liorer l’\u00e9cosyst\u00e8me de gestion des vuln\u00e9rabilit\u00e9s et \u00e0 \u00e9tablir des mesures de plus grande transparence autour de l’exploitation.<\/p>\n
“Alors que la notori\u00e9t\u00e9 des vuln\u00e9rabilit\u00e9s zero-day fait g\u00e9n\u00e9ralement la une des journaux, les risques subsistent m\u00eame apr\u00e8s qu’ils sont connus et corrig\u00e9s, ce qui est la vraie histoire”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. a dit<\/a> dans une annonce. “Ces risques couvrent tout, depuis le temps de latence dans l’adoption des OEM, les probl\u00e8mes li\u00e9s aux tests de correctifs, les probl\u00e8mes de mise \u00e0 jour de l’utilisateur final, etc.”<\/p>\n Les menaces de s\u00e9curit\u00e9 proviennent \u00e9galement de correctifs incomplets appliqu\u00e9s par les fournisseurs, une partie des \u00ab zero-days \u00bb exploit\u00e9s \u00e0 l’\u00e9tat sauvage se r\u00e9v\u00e9lant \u00eatre des variantes de vuln\u00e9rabilit\u00e9s pr\u00e9c\u00e9demment corrig\u00e9es.<\/p>\n Pour att\u00e9nuer ces risques, il faut s’attaquer \u00e0 la cause profonde des vuln\u00e9rabilit\u00e9s et donner la priorit\u00e9 aux pratiques modernes de d\u00e9veloppement de logiciels s\u00e9curis\u00e9s afin d’\u00e9liminer des classes enti\u00e8res de menaces et de bloquer les voies d’attaque potentielles.<\/p>\n En tenant compte de ces facteurs, Google a d\u00e9clar\u00e9 qu’il formait un Hacking Policy Council pour “s’assurer que les nouvelles politiques et r\u00e9glementations soutiennent les meilleures pratiques en mati\u00e8re de gestion et de divulgation des vuln\u00e9rabilit\u00e9s”.<\/p>\n La soci\u00e9t\u00e9 a en outre soulign\u00e9 qu’elle s’engage \u00e0 divulguer publiquement les incidents lorsqu’elle trouve des preuves d’exploitation active des vuln\u00e9rabilit\u00e9s dans son portefeuille de produits.<\/p>\n Enfin, le g\u00e9ant de la technologie a d\u00e9clar\u00e9 qu’il instituait un fonds de d\u00e9fense juridique pour la recherche en s\u00e9curit\u00e9 afin de fournir un financement de d\u00e9marrage pour la repr\u00e9sentation l\u00e9gale des personnes engag\u00e9es dans des recherches de bonne foi pour trouver et signaler les vuln\u00e9rabilit\u00e9s d’une mani\u00e8re qui fait progresser la cybers\u00e9curit\u00e9.<\/p>\n La derni\u00e8re pouss\u00e9e de Google en mati\u00e8re de s\u00e9curit\u00e9 r\u00e9pond \u00e0 la n\u00e9cessit\u00e9 de regarder au-del\u00e0 des jours z\u00e9ro en rendant l’exploitation difficile en premier lieu, en favorisant l’adoption de correctifs pour les vuln\u00e9rabilit\u00e9s connues en temps opportun, en mettant en place des politiques pour g\u00e9rer les cycles de vie des produits et en informant les utilisateurs lorsque les produits sont activement exploit\u00e9.<\/p>\n Il sert \u00e9galement \u00e0 souligner l’importance d’appliquer les principes de s\u00e9curit\u00e9 d\u00e8s la conception \u00e0 toutes les phases du cycle de vie du d\u00e9veloppement logiciel.<\/p>\n Ma\u00eetrisez l’art de la collecte de renseignements sur le dark web<\/p>\n Apprenez l’art d’extraire des informations sur les menaces du dark web – Rejoignez ce webinaire dirig\u00e9 par des experts\u00a0!<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n La divulgation intervient alors que Google a lanc\u00e9 un service API gratuit<\/a> appel\u00e9 API deps.dev<\/a> dans le but de s\u00e9curiser la cha\u00eene d’approvisionnement logicielle en donnant acc\u00e8s aux m\u00e9tadonn\u00e9es de s\u00e9curit\u00e9 et aux informations de d\u00e9pendance pour plus de 50 millions de versions de cinq millions de packages open source trouv\u00e9s sur les r\u00e9f\u00e9rentiels Go, Maven, PyPI, npm et Cargo.<\/p>\n Dans un d\u00e9veloppement connexe, la division cloud de Google a \u00e9galement annonc\u00e9 la Disponibilit\u00e9 g\u00e9n\u00e9rale<\/a> du service Assured Open Source Software (Assured OSS) pour les \u00e9cosyst\u00e8mes Java et Python.<\/p>\n <\/p>\n