Software vulnerability disclosure and security investment
L'impact de la divulgation d’une faille de sécurité : au-delà des motivations de l’éditeur de logiciel
Résumé
Around the debate on software vulnerability disclosure, existing works have mostly explored how disclosure gives an incentive to software vendors to better secure their software. The role of third parties such as business users, security firms or downstream software vendors is rarely taken account, while in fact these actors are increasingly involved in improving the security of a software. In this paper, we argue that vulnerability disclosure may act as a signal that revises the perceived security quality of the affected software and we examine how it affects the level of security effort exerted by different actors. Using data from 2009 to 2018 on a public vulnerability database, we show that after the disclosure of a critical vulnerability, the vulnerability research activity on the software that is subject to the disclosure significantly increases compared to the control group of unaffected software. In particular, vulnerability disclosure has a greater impact on actors who perceive the disclosure as an opportunity to find new security flaw and to financially benefit from it (such as the security firms and individual researchers) than on those who suffer the security risks (such as users and downstream vendors).
Autour du débat sur l’impact de la divulgation d’information sur les vulnérabilités des systèmes, les travaux existants ont essentiellement exploré comment la divulgation incite les éditeurs de logiciel à mieux sécuriser leur logiciel. Le rôle des acteurs autre que l’éditeur de logiciel est rarement pris en compte, alors que ceux-ci sont de plus en plus impliqués dans le processus de sécurisation des logiciels. Dans cet article, nous examinons comment la divulgation publique d'une vulnérabilité critique sur un logiciel affecte le comportement de différents acteurs à fournir un effort pour améliorer sa sécurité. A travers l'analyse de données de panel sur 3 cas de divulgation de faille de sécurité particulièrement critique, nous montrons que les acteurs autres que l'éditeur de logiciel - les chercheurs individuels, les firmes de sécurité, les organismes publiques - contribuent de manière significative à améliorer la sécurité du logiciel et sont davantage impactés par la divulgation. Par ailleurs, Nos résultats suggèrent que la divulgation publique de failles critiques affecte davantage les tierces parties qui considère ce « choc médiatique » comme une opportunité à trouver une nouvelle faille et à en tirer profit plutôt que les utilisateurs qui la perçoivent comme une externalité négative.