À retenir
- L'exploitation transforme un bug passif en une action active.
- Elle cible une vulnérabilité précise (logicielle ou humaine).
- Elle permet d'obtenir des droits ou des informations normalement inaccessibles.
L'exploitation désigne l'action de tirer parti d'un défaut ou d'une erreur dans un programme informatique pour l'obliger à faire quelque chose qui n'était pas prévu. On peut comparer cela à quelqu'un qui découvrirait qu'une serrure spécifique peut être ouverte avec une simple épingle : l'action d'utiliser l'épingle pour entrer est l'exploitation.
Étymologie
Issu du latin explicare (déplier, développer), le terme s'est transformé en français pour désigner l'action de faire valoir ou de tirer profit d'une ressource. En informatique, il est fortement influencé par l'anglais exploit, qui désigne à la fois l'acte et l'outil utilisé pour détourner un système.
Exemples d'usage
- Utiliser une injection SQL pour contourner un écran de connexion et accéder à des données privées sans mot de passe.
- Envoyer un fichier corrompu qui, une fois ouvert, permet à un pirate de prendre le contrôle d'un ordinateur (exploitation d'une faille de mémoire).
- Profiter d'un bug dans une application bancaire pour effectuer un virement d'un montant négatif et ainsi créditer son propre compte.
Cas d'usage
Ce concept est omniprésent en cybersécurité. Il est utilisé par les attaquants pour voler des données, mais aussi par les experts en sécurité (hackers éthiques) lors de tests d'intrusion pour prouver qu'une faille existe et doit être réparée.
Bonnes pratiques
La meilleure défense contre l'exploitation est la mise à jour constante des logiciels (le patching), car les correctifs ferment les portes que les exploitations tentent d'emprunter. Il est aussi conseillé de limiter les privilèges des utilisateurs pour qu'une exploitation réussie ne donne pas accès à tout le système.
Synonymes
Antonymes
Conseil
Si vous débutez, ne confondez pas le bug (une erreur de code) et l'exploitation (la méthode pour en profiter). Apprendre à exploiter des failles dans un environnement contrôlé (comme les plateformes de CTF) est un excellent moyen de comprendre comment mieux coder ses propres applications.
Questions fréquentes
Est-ce que l'exploitation nécessite forcément un logiciel complexe ?
Non, parfois une simple suite de caractères tapée dans un formulaire peut suffire à exploiter une faille.
Quelle est la différence entre une vulnérabilité et une exploitation ?
La vulnérabilité est la faiblesse (la porte ouverte), l'exploitation est l'acte de passer par cette faiblesse.