Microsoft ne apprécie pas la révélation d’une faille de Windows 11.

Après la découverte d’une vulnérabilité concernant le chiffrement de Windows 11, la personne l’ayant révélée se serait fait sanctionner par Microsoft. La firme de Redmond indique : « La démonstration de principe de cette faille a été rendue publique, en violation des bonnes pratiques en matière de gestion coordonnée des vulnérabilités ».

Pour ceux qui nous lisent régulièrement, le processus de découverte d’une faille de sécurité sur Windows 11 est bien connu.

Soit les développeurs de Microsoft identifient la vulnérabilité, soit un tiers, externe à l’entreprise, la détecte et en informe la société, qui travaille alors à un correctif.

Cependant, les choses ne se passent pas toujours de cette manière. Le spécialiste en cybersécurité Nightmare Eclipse a observé qu’il était relativement facile de contourner BitLocker, le programme responsable du chiffrement de Windows 11.

Pour démontrer cette faille, il publie des fichiers exploitables sur GitHub et détaille son fonctionnement. Rapidement, Microsoft met à disposition un script pour corriger le problème. Fin de l’affaire ? Pas tout à fait.

Sanction de Microsoft pour avoir révélé une vulnérabilité de Windows 11 ?

Sur la page consacrée à cette faille, la société de Redmond déclare : « La démonstration de principe de cette faille a été rendue publique, en violation des bonnes pratiques en matière de gestion coordonnée des vulnérabilités ». Aucun nom n’est mentionné, pas même celui de Nightmare Eclipse.

Cependant, il semblerait que Microsoft ait une rancœur personnelle à l’égard de cette personne. Dans un article de blog, celle-ci affirme : « Prétendre que j’ai enfreint les bonnes pratiques en matière de CVD constitue une atteinte à ma réputation personnelle ». Elle ajoute avoir reçu des menaces de diffamation en privé avant cela.

Ce n’est pas tout : « Vous avez intentionnellement révoqué mon accès à mon compte MSRC [Microsoft Security Response Center, ndlr], que j’utilisais pour vous signaler des vulnérabilités. Lorsque je vous ai interrogé à ce sujet, vous avez […] complètement supprimé le compte, malgré mes multiples tentatives pour obtenir une explication. Aucune de ces demandes n’a reçu de réponse de la part de la direction du MSRC ».

Le conflit est désormais public et chacun semble se renvoyer la responsabilité. Nightmare Eclipse prend la déclaration de Microsoft « très à cœur ».