Vulnérabilités logicielles : et si on arrêtait de réparer l'irréparable ?

Et si la solution aux vulnérabilités logicielles ne passait pas par des correctifs à répétition, mais par une refonte en profondeur de la façon dont on conçoit les systèmes ? C'est le pari audacieux du NCSC britannique, qui propose une méthode pour distinguer les vulnérabilités «pardonnables» — celles qu'on peut corriger après coup — des vulnérabilités «impardonnables», qu'il faut éradiquer dès la conception.

L'idée est simple, mais puissante : certaines failles sont inhérentes à des choix de design obsolètes ou dangereux, comme les buffer overflows, les injections SQL, ou les problèmes de gestion des droits. Ces vulnérabilités «impardonnables» devraient être bannies des langages et des frameworks modernes. À l'inverse, d'autres failles — comme une mauvaise configuration ou un bug dans une fonctionnalité secondaire — peuvent être corrigées sans remettre en cause l'architecture globale. En classant ainsi les vulnérabilités, les développeurs pourraient se concentrer sur ce qui compte vraiment : construire des systèmes intrinsèquement sûrs, plutôt que de courir après des correctifs sans fin.

Cette approche rejoint une philosophie déjà bien ancrée en Europe : la sécurité par défaut. Des initiatives comme le Cyber Resilience Act ou les travaux de l'ANSSI en France poussent dans ce sens. Mais le rapport du NCSC va plus loin en proposant des critères concrets pour évaluer une vulnérabilité : est-elle évitable avec les bonnes pratiques ? Peut-elle être exploitée à distance ? A-t-elle un impact critique sur la confidentialité ou l'intégrité des données ? Autant de questions qui pourraient devenir des standards pour les développeurs européens.

Concrètement, cela change quoi pour vous ? Moins de mises à jour stressantes, d'abord : si les systèmes sont conçus pour être sûrs dès le départ, les correctifs urgents deviendront l'exception, pas la règle. Plus de confiance dans les outils que vous utilisez, ensuite : en éradiquant les vulnérabilités «impardonnables», les logiciels que vous utilisez au quotidien — messageries, gestionnaires de mots de passe, ou même vos objets connectés — seront moins susceptibles d'être piratés. Enfin, une souveraineté numérique renforcée : en adoptant ces bonnes pratiques, l'Europe pourrait se positionner comme un leader en matière de logiciels sécurisés, sans dépendre des géants américains ou asiatiques.

Des projets open source comme Rust (le langage qui élimine les buffer overflows) ou Nextcloud (la plateforme de cloud auto-hébergé) montrent que cette vision est déjà en train de se concrétiser. Et si vous voulez explorer des outils conçus selon ces principes, des solutions comme Colistor — qui intègrent nativement la sécurité et la vie privée — prouvent qu'une autre façon de concevoir le numérique est possible. La sécurité n'est pas une option, c'est un choix de design — et l'Europe est en train de le faire.