Qu’est-ce qu’un exploit ?

Si son talon avait été la vulnérabilité d’Achille dans l’Iliade, la flèche empoisonnée de Paris aurait été l’exploit. Plus concrètement, un exploit est un appareil ou une méthode que les pirates utilisent pour profiter d’une vulnérabilité existante au sein de n’importe quel matériel ou logiciel.

Une vulnérabilité est une faiblesse. Certains bugs se produisent parfois à cause d’erreurs honnêtes faites par les programmeurs lors du développement d’un produit. Néanmoins, les vulnérabilités sont parfois introduites dans un produit intentionnellement dans le but de laisser un accès dérobé au produit après qu’il ait été envoyé à l’utilisateur.

En bref, alors que les pirates obtiennent de meilleurs outils, qu’ils apprennent de plus en plus et que les ordinateurs deviennent de plus en plus puissants, les procédés et les pratiques qui étaient autrefois considérés comme sécurisés sont désormais obsolètes.

Il est possible de considérer la sécurité de la manière suivante : avant l’invention de la poudre noire, les châteaux étaient presque des défenses impénétrables. On construisait des douves remplies de crocodiles (la plupart des gens ne savaient pas nager à cette époque, les crocodiles sont donc peut-être superflus), on remontait le pont-levis quand un ennemi arrivait et le royaume était alors protégé. La poudre noire est ensuite arrivée, et les envahisseurs peuvent désormais envoyer un missile de croisière à travers les murs d’un château: un pont-levis, un mur de pierre ou des douves ne serviront pas à grand chose.

Il est néanmoins important de noter  que de toutes les vulnérabilités, seulement un petit pourcentage est dangereux ou utile pour les pirates. De nombreuses vulnérabilités causent uniquement des problèmes tels que des crashs, des redémarrages ou autres problèmes parfois plus importants. Cependant, il existe également de nombreuses vulnérabilités dangereuses mais elles sont impossibles ou trop chères à exploiter.  Les seules vulnérabilités qui ont une valeur pour les pirates sont celles qui permettent un accès à distance, et celles qui pourraient permettre au pirate d’exécuter un code malveillant, ou d’acquérir les privilèges administrateur.

Les vulnérabilités sont toujours présentes. J’installe constamment des patchs dès que je le peux pour tout ce que j’utilise. Malgré cela, j’écris cet article à partir d’un logiciel Microsoft Word vulnérable, sur un ordinateur Windows vulnérable, avec une infinité d’onglets ouverts dans un navigateur vulnérable. Les vulnérabilités sont toujours là, reste à savoir si quelqu’un a découvert et développé les exploits pour en tirer parti.

Quand on y réfléchit, dans le contexte informatique, « vulnérabilités » et « exploits » signifient exactement ce qu’elles signifient dans un contexte plus général. Il est cependant plus compliqué d’expliquer comment une vulnérabilité existe et ce qu’un pirate pourrait faire pour l’exploiter.

Dans les attaques d’hameçonnage, les concepts de vulnérabilité et d’exploit sont plus simples à comprendre. La vulnérabilité est la crédulité humaine ou la naïveté et l’exploit est un e-mail convainquant.

La réalité est que les vulnérabilités sont toujours là – connues et non connues – et elles seront toujours là. La meilleure solution est simple : installez vos mises à jour, utilisez un logiciel antivirus puissant, évitez les réseaux Wi-Fi publics, n’ouvrez pas les pièces jointes contenues dans des e-mails étranges, et en général, naviguez de manière intelligente.