Droit et éthique du hacking éthique : l'autorisation écrite avant tout

Vous avez appris à repérer des failles web, à manipuler un proxy et à lire un réseau. Avant d'aller plus loin, une règle domine toutes les autres : ce qui fait de vous un professionnel et non un délinquant, ce n'est pas la technique, c'est l'autorisation. Cette leçon pose le cadre légal et éthique qui accompagnera chaque chapitre du cours.

Ce cours est le quatrième du parcours « Cybersécurité ». Il vous apprend la méthodologie complète d'un test d'intrusion : préparer, reconnaître, analyser, exploiter, approfondir, puis rendre compte. Le fil rouge est un exercice de bout en bout que vous mènerez dans votre propre laboratoire, sur des machines volontairement vulnérables comme celles proposées par des plateformes d'entraînement légales (TryHackMe, HackTheBox) ou installées chez vous dans un labo virtuel. Rien de ce que vous verrez ici ne doit être appliqué ailleurs.

Ce que dit la loi en France

Le Code pénal français consacre plusieurs articles aux atteintes aux « systèmes de traitement automatisé de données » (STAD). Retenez les numéros, car vous les retrouverez dans tous les contrats de la profession : les articles 323-1 à 323-3-1.

• Article 323-1 : le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données. La sanction est aggravée si l'accès entraîne une suppression, une modification des données ou une altération du fonctionnement du système.
• Article 323-2 : le fait d'entraver ou de fausser le fonctionnement d'un tel système (par exemple en le saturant).
• Article 323-3 : le fait d'introduire, d'extraire, de modifier ou de supprimer frauduleusement des données.
• Article 323-3-1 : le fait, sans motif légitime, de détenir, offrir, céder ou mettre à disposition un équipement, un instrument ou un programme conçu ou adapté pour commettre ces infractions. Les mots « sans motif légitime » sont importants : la recherche en sécurité et la formation peuvent constituer un motif légitime, mais c'est à vous d'être en mesure de le démontrer.

Les peines prévues sont des peines de prison et des amendes importantes, et elles augmentent dans certains cas (données personnelles, système de l'État, bande organisée). Vous pouvez lire le texte officiel sur le site legifrance.gouv.fr. Les tentatives sont également punissables : il n'est pas nécessaire d'avoir « réussi » pour être poursuivi.

Notez enfin un point qui surprend les débutants : le mot « frauduleusement » ne signifie pas « avec mauvaise intention » : en pratique, accéder à un système sans y être autorisé est généralement considéré comme frauduleux. Dire « je voulais seulement lui montrer sa faille » n'est pas une défense solide.

Pourquoi les intentions ne suffisent pas

Imaginez un serrurier qui, par bonté d'âme, essaie d'ouvrir les portes d'un immeuble voisin pour vérifier qu'elles sont bien fermées. Ses intentions sont peut-être excellentes ; les habitants, eux, n'ont rien demandé et ne savent pas qui rôde dans leur couloir. Le droit protège la propriété et la tranquillité des systèmes indépendamment de ce que vous comptez en faire.

La distinction entre « white hat » (chapeau blanc), « black hat » (chapeau noir) et « grey hat » (chapeau gris) est utile pour discuter de motivations, mais elle ne vaut pas défense juridique. Ce qui sépare réellement le test d'intrusion de l'attaque, ce sont trois éléments très concrets :

1. Une autorisation explicite, donnée par une personne qui a le pouvoir de la donner (le propriétaire ou le responsable du système) ;
2. Un périmètre défini : quelles cibles, quelles techniques, quelles dates, quelles heures ;
3. Un engagement de confidentialité et de bonne conduite : ce que vous découvrez appartient au client, pas à vous.

Le contrat et les documents d'une mission professionnelle

Dans une mission réelle, plusieurs documents encadrent le test. Vous n'aurez pas à tous les rédiger, mais vous devez savoir lesquels existent et à quoi ils servent.

Un cas souvent oublié : le client n'est pas toujours propriétaire de tout ce qui est dans son périmètre. Un service hébergé chez un prestataire (messagerie en ligne, hébergeur, service en nuage) appartient à ce prestataire, dont les conditions d'utilisation peuvent interdire ou encadrer les tests. L'autorisation du client ne suffit pas toujours ; il faut parfois obtenir aussi celle du tiers.

Les cadres de référence et les ressources officielles

Vous n'avez pas à inventer votre pratique. Plusieurs organismes publient des guides reconnus :

• L'ANSSI (cyber.gouv.fr) publie des recommandations et qualifie des prestataires d'audit de la sécurité des systèmes d'information (les « PASSI »), preuve que la profession est encadrée en France ;
• cybermalveillance.gouv.fr aide victimes et professionnels et sensibilise le grand public ;
• Le NIST (nist.gov) publie un guide technique sur les tests de sécurité de l'information ;
• OWASP (owasp.org) fournit des guides de test que vous avez déjà croisés dans le cours précédent ;
• MITRE ATT&CK (attack.mitre.org) décrit les comportements des attaquants et servira de langage commun dans les chapitres sur la post-exploitation.

Bug bounty et divulgation coordonnée

Certaines organisations autorisent publiquement des chercheurs à les tester, via un programme de « bug bounty » ou une politique de divulgation de vulnérabilités. Ces programmes sont très utiles, mais ils reposent sur la même logique : leur règlement est votre autorisation, et il définit le périmètre. Une cible absente du règlement, ou une technique interdite par lui, reste hors cadre.

Quand vous trouvez une faille chez quelqu'un qui n'a pas ouvert de programme, la bonne attitude est la divulgation coordonnée : vous ne publiez pas, vous n'exploitez pas davantage, vous prévenez le responsable par un canal officiel et vous lui laissez un délai raisonnable pour corriger. Mieux encore : pendant votre apprentissage, ne cherchez pas ce genre de faille sur des systèmes réels. Les plateformes d'entraînement existent précisément pour cela.

Les principes d'éthique à adopter dès maintenant

• Moindre impact : choisissez la technique qui prouve la faille sans casser le service.
• Moindre exposition de données : prouvez l'accès avec un échantillon minimal, jamais en copiant massivement des données personnelles.
• Transparence : tout ce que vous faites est journalisé et pourra être expliqué.
• Honnêteté : vous ne cachez pas une erreur, vous ne gonflez pas un résultat.
• Arrêt : si vous découvrez que vous êtes hors périmètre, ou que vous touchez une donnée sensible inattendue, vous vous arrêtez et vous prévenez.

À vous de jouer : votre carnet de mission

Dès aujourd'hui, ouvrez un carnet (un fichier texte, un document ou un outil de notes) intitulé « Carnet de mission ». Ce carnet vous suivra pendant tout le cours. Sur la première page, écrivez de mémoire :

1. Les quatre articles du Code pénal (323-1, 323-2, 323-3, 323-3-1) et, en une phrase chacun, ce qu'ils interdisent ;
2. Les trois éléments qui distinguent un test d'intrusion d'une attaque ;
3. Trois situations de la vie courante où vous seriez tenté de « juste regarder » et où vous devez vous abstenir.

Dans la leçon suivante, nous découvrirons les différents types de test d'intrusion (boîte noire, grise, blanche) et ce que chacun implique en termes d'informations fournies et de résultats attendus.