Il a passé son week-end de Pâques à lire la documentation d'un service de l'État, et il en est ressorti avec un identifiant CVE à son nom. À dix-sept ans, Fauxrouge — son pseudonyme dans le monde de la cybersécurité, qu'il utilise depuis ses quatorze ans — vient de rendre service à plusieurs millions d'usagers, sans jamais avoir cherché à nuire.
L'histoire commence le 12 avril dernier. En préparant un exposé sur l'identité numérique pour son cours de SNT, le lycéen tombe sur le portail d'un téléservice qu'il utilise lui-même pour suivre une démarche scolaire. « Quelque chose ne collait pas dans la façon dont l'application gérait les sessions », raconte-t-il dans le salon familial, ordinateur portable sur les genoux. En quelques heures, il identifie ce qu'il décrit comme « un problème d'autorisation classique mais sérieux » : sous certaines conditions, un utilisateur authentifié pouvait, en modifiant légèrement une requête, accéder à des informations qui ne le concernaient pas.
Une démarche par le bon canal
Plutôt que de tester sa découverte plus avant, Fauxrouge fait ce que recommandent l'ANSSI et le CERT-FR depuis des années : il ouvre une déclaration de vulnérabilité responsable via le programme dédié aux administrations, hébergé par la plateforme française YesWeHack. Réponse de la DINUM dans la journée. Première vérification le lendemain. Confirmation de la criticité le 14 avril.
Le correctif est déployé en production le 28 avril, soit seize jours après le signalement initial. Le 5 mai, la DINUM publie un communiqué laconique mais explicite : « Nous remercions le chercheur indépendant Fauxrouge pour la qualité de son rapport et son strict respect des règles de divulgation coordonnée. » Le pseudonyme rejoint le hall of fame du programme.
Ce qui m'a intéressé, c'est pas de prouver que je pouvais entrer. C'est de comprendre ce qui n'allait pas dans la conception, et de voir si l'État allait réagir comme une vraie boîte. Réponse : oui. — Fauxrouge
Une fierté pour Porte Saint Clou
L'information circule vite dans le village. Anne Mougenot, maire, a tenu à le féliciter dès le lendemain. « Que l'on parle de Porte Saint Clou pour quelque chose d'aussi positif, qui plus est porté par un de nos jeunes, c'est rare et c'est précieux », souligne l'édile. Une réception officielle est prévue salle du conseil le 24 mai, en même temps que celle du collectif Synapsis, dont Fauxrouge est cofondateur, et qui rentre tout juste de l'European Junior CTF de Berlin avec une médaille de bronze.
Du côté de la famille, on respire — un peu. « Pendant un an, on s'est demandé si on faisait bien de le laisser passer ses soirées sur ces sujets-là. On a compris qu'il faut juste l'accompagner, pas l'empêcher. » Les parents tiennent cependant à rappeler que l'usage du pseudonyme et la discrétion sur les détails techniques font partie d'un équilibre fragile : « Il est mineur. On ne donne pas son visage entier sur les photos, on ne donne pas son nom de famille, on ne donne pas le détail de la faille. C'est la règle, et elle est saine. »
Et ensuite ?
Fauxrouge passe son baccalauréat en juin. Il vise la spécialité Sécurité du numérique d'une école d'ingénieurs en alternance, avec un objectif clair : « Rester en France, faire mes armes en région, et continuer à signaler ce que je trouve quand je le trouve. » Le tout sans cesser, jure-t-il, d'aller taper au foot le mercredi soir avec les copains du Saint-Cloutien FC.
Cet article a été relu et validé avec l'accord des parents de Fauxrouge. Aucune information technique permettant de reproduire la vulnérabilité n'y figure, conformément aux engagements pris auprès de l'éditeur du téléservice.