Après le Junipergate, Cisco lance un audit interne de ses codes sources

L’affaire Juniper, dont tout porte à croire qu’elle ne fait que commencer, provoque des réactions chez les concurrents. Cisco a ainsi annoncé lundi qu’il avait lancé « un examen additionnel de [ses] produits » pour vérifier si, à tout hasard, du code créant des backdoors ne s’était pas aussi glissé dans ses firmwares sans qu’il en ait connaissance.

« Même si nos pratiques normales devraient détecter des logiciels non autorisés, nous reconnaissons qu’aucun processus ne peut éliminer tous les risques », écrit l’équipementier. « Notre examen additionnel comprend des tests de pénétration et des examens de code par des ingénieurs avec de profondes expériences en réseau et en cryptologie ».

Mais l’audit sera donc exclusivement réalisé en interne et donc totalement dépendant du champ et des procédures décidées par Cisco. Il n’y a pas d’audit indépendant comme ça a pu être le cas, par exemple, pour vérifier le code source de TrueCrypt (qui était toutefois un logiciel open-source, alors que Cisco cherche bien évidemment à protéger ses secrets industriels).

Cisco assure qu’il a décidé de réaliser cet audit de son propre chef, sans que les autorités ne lui demandent de vérifier s’il n’avait pas trace d’intrusions similaires à celles détectées par Juniper. Ce dernier avait révélé la semaine dernière la découverte d’un « code non autorisé » créant des failles de sécurité majeures sur ses firewalls et VPN vendus aux entreprises et opérateurs télécoms. Selon les experts, la faille qui offrait à Juniper un backdoor n’a pas été corrigée.