Les autorités indiennes ont demandé à un chercheur en sécurité de 19 ans de retarder la divulgation des vulnérabilités logicielles jusqu'à ce qu'elles soient résolues, ce qui a déclenché un échange houleux entre l'individu et la principale agence de cybersécurité du pays.
Adhikary, connu pour avoir exposé les faiblesses du système de notation en ligne du Conseil central de l'enseignement secondaire (CBSE) de l'Inde plus tôt cette année, a répondu fermement, rejetant la demande et accusant Cert-In d'inefficacité. Selon Adhikary, il a soumis plus de 200 rapports de vulnérabilité à Cert-In depuis février 2026, ciblant principalement les systèmes du secteur privé. Cependant, il affirme que moins d'un pour cent d'entre eux ont été abordés.
Il a également allégué que l'agence tente de le dissuader de poursuivre son travail et cherche à réclamer le crédit pour les vulnérabilités qu'il a identifiées. Un message de Cert-In, daté du 28 août, a déclaré que les divulgations d'Adhikary étaient prématurées et l'a exhorté à limiter la discussion publique sur les vulnérabilités non résolues.
Un haut responsable de MeitY a expliqué que la divulgation publique pourrait potentiellement permettre à des acteurs malveillants d'exploiter les vulnérabilités, ajoutant que la responsabilité ultime incombe aux organisations propriétaires des systèmes affectés pour mettre en œuvre les correctifs nécessaires.
En réponse à l'agence, il a fait référence à l'affaire CBSE, affirmant que ces défauts n'auraient peut-être pas été corrigés sans son intervention publique. Adhikary a précisé qu'il fournit généralement aux organisations trois à quatre semaines avant de divulguer publiquement les vulnérabilités et évite de partager le code de preuve de concept, les étapes de reproduction, les points finaux ou les informations d'identification. Malgré ces précautions, il maintient que la pression pour divulguer publiquement survient en raison du rythme lent de résolution par les agences concernées.
Karan Saini, un autre chercheur en sécurité indépendant basé à New Delhi, a fait écho à des sentiments similaires, affirmant que Cert-In a toujours été lent et non transparent, en particulier en ce qui concerne les infrastructures critiques. Il a souligné les retards dans la résolution des vulnérabilités liées à la base de données Aadhaar, au système ZIPNET de la police de Delhi, au portail du droit à l'information (RTI) et au site Web de la Commission électorale. Saini a fait valoir que la divulgation publique devient souvent la seule méthode efficace pour assurer la mise en œuvre rapide des correctifs, notant que plusieurs de ses vulnérabilités signalées n'ont été résolues qu'après avoir divulgué suffisamment de détails pour attirer l'attention sur les problèmes.
★
Gardons l’information honnête.
ObjectiveNews est financé par ses lecteurs et sans publicité : nous vous montrons le biais au lieu de le cacher. Soutenez un journalisme indépendant pour 4 €/mois.
Devenir soutien
India
