Libra : jusqu’à 10 000 dollars pour les apprentis chasseurs de bugs

Le projet de stable coin de la Fondation Libra porté par Facebook vient d’annoncer officiellement son programme de « Bug Bounty ». La communauté est ainsi incitée à traquer sur le testnet de la blockchain Libra le moindre dysfonctionnement, puis à le rapporter.

Des récompenses jusqu’à 10 000 dollars ont vocation à faire briller les yeux des crypto-chasseurs de primes et donner l’apparence d’un travail communautaire, collaboratif et open source à un projet qui en a bien besoin.  La portée de ce travail communautaire reste discutable.

Wanted Bounty Hunter

On s’accordera sur le fait que, soumis à quelques « petites tracasseries administratives », Libra est encore loin d’être certain de voir le jour. Cela n’empêche pas cependant l’équipe derrière le projet de stablecoin de Facebook de continuer à œuvrer quotidiennement, notamment s’agissant de la mise en place d’une solution blockchain robuste. En effet, on n’ambitionne pas de proposer des services financiers à plusieurs milliards d’individus sans disposer d’une architecture à la solidité à toute épreuve.

Dans ce contexte, et dans la plus pure tradition des projets open-source et collaboratifs dont Facebook aimerait beaucoup revêtir l’apparence, Libra vient d’annoncer la mise en place d’un « Bug Bounty ». La communauté se voit ainsi proposer de traquer les failles du système, ses dysfonctionnements et autres joyeusetés sur le testnet de la future blockchain de Libra.

En échange, ce sont jusqu’à 10 000 dollars de récompense qui sont promis aux apprentis chasseurs de prime. Précisons que la version française ne fait quant à elle pas mention du moindre montant, se contentant d’un sibyllin « programme de signalement de bugs basé sur un système de récompenses ».

Rengainez vos colts, c’est du simple marketing

Si cette fameuse chasse au bug (« bug bounty ») est parfois considérée comme aussi ancienne que l’informatique en elle-même, la pratique est pourtant bien rodée depuis bien longtemps. Il s’agira de mobiliser une communauté autour d’un projet, afin qu’une armée de détectives numériques aillent inspecter sous toutes ses coutures un soft, un OS ou un site web afin d’y débusquer tout dysfonctionnement.

Le but sera bien de repérer le plus de bugs possibles, du plus petit (le code couleur change d’une page à l’autre) au plus ennuyeux (si je fais Ctrl + 666, la centrale nucléaire s’arrête).

Cette approche est éminemment collaborative et communautaire. Elle est parfaitement adaptée à des projets open-source dont l’ADN trouve sa source dans cette tendance à l’entraide et la collaboration. Or, cette dimension communautaire, le projet Libra soumis à un feu nourri des législateurs et politiques à travers le monde en a grand besoin. Diogo Monica, cofondateur d’Anchorage et membre de la Libra Association, résume parfaitement bien la situation :

« Il y a une quantité variable de récompenses en fonction des bugs reportés. C’est super pour la communauté de Libra, et c’est en accord avec les valeurs de la communauté de la cybersécurité en général ».

Si d’une part, en l’état de l’avancement du projet Libra, on pourra légitimement s’interroger sur la réalité de ladite « communauté », sachez tout de même que le programme est coordonné par la société spécialisée HackerOne. Une manière de sous-traiter efficacement et avec un niveau de validation solide afin de juger de la pertinence et de la qualité des reports de bugs de la part des futurs « chasseurs de primes ».

On notera que Chainalysis se félicite du fait que le projet Libra se conforme aux usages du secteur et cherche à anticiper le plus en amont possible toute difficulté s’agissant de la technologie qui sera déployée. Cependant, difficile de ne pas voir tout l’opportunisme d’un acteur qui en appelle à la communauté du haut d’une Fondation dont on rappellera que le ticket d’entrée est fixé à 10 millions de dollars.