34:56Cet enregistrement n'est pas encore disponible.
Tamagotchi from hell : l’éthique de la diffusion des outils d’intrusion en cybersécurité
Télécharger les ressourcesCatégories
À propos de cette session
David Brunelle-Lamontagne, chargé de projet chez GoSecure et formé en philosophie, se demande à quel moment il est éthique de diffuser publiquement un outil d'intrusion. Il part de la décision canadienne de 2024 de restreindre la vente du Flipper Zero, jugée disproportionnée par une bonne partie de l'industrie, mais soutient que la question de fond reste légitime. Posant le choix comme une question d'éthique individuelle plutôt que de droit, il emprunte au débat sur les armes à feu concernant la neutralité morale de l'objet technologique : la responsabilité repose-t-elle sur l'objet et son concepteur, ou seulement sur l'usage intentionnel qu'en fait la personne? Il juge la neutralité stricte difficile à défendre sur le plan épistémologique, mais estime aussi que tout mettre sur le dos de l'objet est trop simple, et propose de concilier les deux positions autour de trois angles : recenser tous les usages plausibles indépendamment de l'intention du créateur, considérer l'outil diffusé comme une nouvelle opportunité dans le système plutôt qu'une cause, et se demander si les contrôles existants peuvent l'absorber. Il en tire une grille pratique, portée, seuil de compétence requis, apport défensif, réversibilité post-diffusion et potentiel de détournement, appliquée au Flipper Zero puis à l'outil réel GraphSpy et à la divulgation coordonnée comme mécanisme d'absorption de l'industrie.
Quelles notions d'éthique entrent en jeu dans le débat entourant la diffusion des outils de pentesting ?
En 2022, un nouveau jouet arrive sur le marché. Il peut ouvrir les portes fermées à clef, lancer des attaques Bluetooth,
et permettrait, dit-on, de voler des voitures. En 2024, le gouvernement canadien intervient et met en place des mesures
visant à interdire le Flipper Zero. Cette réaction n'est pas isolée : d'autres gouvernements, australien, européen, ont
manifesté des réflexes similaires face à ce type d'outils.
Pour plusieurs acteurs de l'industrie, cette réponse est disproportionnée. Le gouvernement canadien est victime d'une
médiatisation sensationnaliste de cet appareil et de ses capacités. Il s'agit, au mieux, d'un outil éducatif pour testeurs
d'intrusion. Les réponses officielles semblent traduire la tension qui existe entre sécurité publique et liberté de la
recherche en cybersécurité, lesquelles sont certainement alimentées par une ignorance technique de ce domaine
d'expertise.
Si la décision canadienne semble mal informée, la question de fond nous paraît légitime : quelle est la responsabilité
éthique quant à des outils, physiques ou logiciels, capables d'exploiter des vulnérabilités de nos systèmes ? Dans le
prolongement de la problématique de la divulgation responsable, avec son lot d'enjeux spécifiques, notamment celui de
l'accessibilité (ou seul de compétence).
Se positionner demande de décortiquer les éléments constitutifs de ce débat.
Nous nous proposons d'expliciter l'éthique sous-jacente de cette problématique, notamment selon les axes de la
neutralité morale de l'objet ou la question du monopole légitime de la violence numérique.
À retenir
- Avant de diffuser un outil de pentest, recenser largement ses usages plausibles, pas seulement l'usage visé, et les soupeser indépendamment des bonnes intentions du créateur.
- Se demander si les contrôles techniques et sociaux existants (coercition, capacité de patcher, seuil de compétence requis) peuvent réellement absorber la nouvelle capacité que l'outil crée, pas seulement s'il est techniquement dangereux.
- Évaluer un outil selon sa portée (systèmes et échelle touchés), le seuil de compétence pour l'utiliser, son apport défensif, sa réversibilité après diffusion et son potentiel de détournement avant de décider de le publier.
- Considérer la divulgation coordonnée comme un moyen concret de concilier la publication d'un exploit avec le temps nécessaire au système pour l'absorber, en prévenant les parties concernées avant de publier.
- Ne pas trancher une décision de diffusion uniquement sur la légalité ou un calcul coûts-avantages; l'orateur soutient qu'il s'agit d'un jugement éthique à faire explicitement, au cas par cas.
Conférenciers
David Brunelle-Lamontagne
Chargé de projet chez GoSecure, il œuvre au sein de l’organisation depuis quatre ans. Il y a d’abord occupé le poste de spécialiste des processus. Il détient un baccalauréat et une maîtrise en philosophie, spécialisés en philosophie des sciences et… Lire la suiteRéduire
Chargé de projet chez GoSecure, il œuvre au sein de l’organisation depuis quatre ans. Il y a d’abord occupé le poste de
spécialiste des processus. Il détient un baccalauréat et une maîtrise en philosophie, spécialisés en philosophie des
sciences et en éthique.
