Divulgation coordonnée

Où écrire

[email protected], en français ou en anglais.

Ce qui rend un signalement utile : ce que vous avez observé, quand, depuis quelle adresse ou quel nœud, et comment le reproduire. Une capture de paquets vaut mieux qu'une description. Si la faille touche un service précis, nommez-le : plusieurs machines et plusieurs domaines sont concernés.

Il n'y a pas de clé publique de chiffrement à ce jour. Si le contenu de votre signalement ne doit pas circuler en clair, dites-le d'abord en une ligne, nous conviendrons d'un canal.

Ce qui nous intéresse

Tout ce qui permet d'obtenir davantage que ce qui est prévu, ou de faire faire au réseau ce que ses opérateurs n'ont pas déclaré :

• un accès d'administration à un relais sans en connaître le mot de passe ;
• la lecture d'un canal sans sa clé ;
• un moyen de faire relayer du trafic au-delà de la portée qu'un opérateur a déclarée ;
• une faille dans les sites, leurs interfaces d'administration ou leurs interfaces de programmation ;
• une fuite de données : clés privées, mots de passe, positions que personne n'a choisi de publier ;
• un défaut de micrologiciel exploitable à distance.

Ce qui n'est pas une vulnérabilité

La bande est publique et le protocole l'est aussi. Il s'ensuit des propriétés qui surprennent, mais qui sont le médium lui-même et non des défauts :

• Tout le monde peut écouter. Une trame passe en clair sur l'air, n'importe quel récepteur la capte. Le chiffrement protège le contenu d'un message, pas le fait qu'il existe.
• Tout le monde peut émettre, et donc forger. Rien n'empêche d'envoyer une trame qui en imite une autre. Seules les annonces d'identité sont signées.
• Une région n'authentifie personne. Sa clé dérive d'un nom public : quiconque connaît le nom peut étiqueter du trafic à cette portée.
• Une empreinte d'émetteur tient sur un octet. Une collision sur deux cent cinquante-six, et rien n'empêche de la recopier. Ce n'est pas une identité.
• La clé d'un canal est partagée. Qui la détient lit tout le canal et peut y écrire, aussi longtemps qu'elle n'est pas changée.

Ces points sont documentés dans nos pages. Nous ne les tenons pas pour des découvertes, mais un moyen concret de les exploiter au-delà de ce qu'ils permettent par construction nous intéresse.

Essayer sans nuire

Le temps d'antenne est partagé : chaque appareil a droit à 10 % de rapport cyclique, et ce que l'un consomme, les autres ne l'ont plus. Une démonstration de faille qui sature la bande coûte à tout le monde et ne prouve rien de plus qu'une démonstration mesurée.

• Travaillez sur vos propres appareils, ou sur un banc, plutôt que sur les relais d'autrui.
• Pas de déni de service pour établir qu'un déni de service est possible : décrivez-le, nous le croirons.
• N'accédez pas à des données qui ne sont pas les vôtres, et n'en conservez pas. Si vous en croisez, dites-le et arrêtez-vous là.
• Ne modifiez ni ne dégradez la configuration d'un nœud qui ne vous appartient pas.

Ce que nous garantissons, et ce que nous ne garantissons pas

Aucun signalement de bonne foi n'entraînera de poursuite, dès lors que les règles ci-dessus ont été respectées.

Il n'y a ni astreinte, ni délai garanti, ni récompense. Ce sont des bénévoles qui lisent cette adresse. Un signalement grave passe devant le reste, mais si votre situation exige une réponse dans l'heure, ce n'est pas le bon canal. Comptez quelques jours pour un accusé de réception.

Nous ne demandons pas le silence. Nous demandons un délai raisonnable : quatre-vingt-dix jours est une norme d'usage, moins si le correctif est publié plus tôt, davantage si vous acceptez d'attendre. Si nous ne répondons pas, publiez : un projet muet ne doit pas pouvoir retarder indéfiniment une information utile.

Nous créditons volontiers l'auteur d'un signalement, sauf demande contraire.