Un chercheur en cybersécurité et une agence s'opposent sur la divulgation publique de vulnérabilités

L'agence nationale indienne de cybersécurité, CERT-In, a demandé au chercheur indépendant en cybersécurité Nisarga Adhikary de cesser de divulguer publiquement les vulnérabilités qu'il découvre avant qu'elles ne soient corrigées.

Adhikary a refusé la demande, en particulier si les organisations concernées ou CERT-In ne répondent pas aux vulnérabilités signalées dans un délai raisonnable, tel que 3 à 4 semaines. Le chercheur souligne qu'il effectue son travail de manière indépendante et responsable, contrairement aux responsables rémunérés qu'il accuse d'imposer des "règles insensées".

Selon Adhikary, il donne aux organisations 3 à 4 semaines pour résoudre les problèmes et ne publie pas de preuves de concept exploitables ni de détails. Il a précédemment attiré l'attention en révélant des vulnérabilités dans les systèmes du Central Board of Secondary Education (CBSE) en Inde, obtenant ensuite un poste à l'IIT Kanpur. Il a également mis en évidence les difficultés de l'agence à traiter les failles de sécurité signalées et, par moments, sa compétence technique.

Le chercheur affirme que CERT-In échoue souvent à corriger les vulnérabilités et s'attribue le mérite de la recherche. Un autre expert en cybersécurité, Karan Saini, a précédemment critiqué l'équipe technique de CERT-In, déclarant que les fonds publics consacrés à la cybersécurité en Inde sont largement gaspillés.