Méthode
Boîte noire, grise ou blanche
Aussi appeléBlack boxGrey boxWhite boxBoîte grise
En résumé
Les trois niveaux d’information fournis aux testeurs avant une mission : aucun (boîte noire), des comptes et de la documentation (boîte grise), ou l’accès complet au code et à l’architecture (boîte blanche). Plus le niveau est élevé, plus la couverture obtenue pour un même budget est grande.
Boîte noire, grise ou blanche, en détail
En boîte noire, les analystes partent sans information, comme un attaquant externe : ils doivent découvrir les fonctions, trouver des comptes, deviner la structure. Cette approche reflète une première approche externe, mais consomme du temps en reconnaissance et couvre peu les zones qui exigent d’être authentifié, c’est-à-dire souvent l’essentiel de la valeur d’une application métier. En boîte grise, on fournit des comptes de test pour chaque rôle, une description des fonctions et, selon le cas, la documentation d’API. Les analystes consacrent leur temps aux contrôles d’accès, aux parcours authentifiés et à la logique métier. C’est le format le plus fréquent pour une application, car un attaquant motivé finit toujours par obtenir un compte : inscription, compte client, identifiants volés.
En boîte blanche, on ajoute l’accès au code source, aux schémas d’architecture et aux configurations, ce qui permet de repérer des défauts que les tests dynamiques ne voient pas facilement et de comprendre leur origine. La relecture de code est alors combinée aux tests. Le choix dépend de l’objectif : simuler un attaquant sans connaissance, ou trouver le plus de défauts possible avec un budget donné.
Qu’est-ce que cela change pour vous ?
Le niveau d’information fait varier la couverture, donc le prix et la valeur du résultat. Une boîte noire coûte moins de préparation mais se laisse arrêter plus tôt ; si l’objectif est de réduire le risque, la boîte grise offre en général le meilleur rendement.
Exemple illustratif (fictif)
Prenons une application de gestion d’abonnements avec trois rôles. En boîte grise, la mission reçoit un compte par rôle et la documentation d’API : le temps gagné sur la reconnaissance est consacré aux autorisations entre rôles, là où se logent les défauts.
La confusion fréquente
Associer la boîte noire à un test plus réaliste donc meilleur. Elle simule un attaquant sans accès, mais un attaquant réel obtient souvent un compte ; elle laisse non testée la plus grande part de la surface authentifiée.
Quelles prestations s’appuient sur ce terme ?
- Pentest web : la prestationSavoir ce qu’un attaquant obtiendrait sur votre application.
- Audit de code : la prestationRetrouver la ligne de code responsable et la raison pour laquelle elle a été écrite.
Aller plus loin
- ArticleComparer des devis de test d’intrusion : la grille en neuf pointsPérimètre, jours-homme, boîte noire ou grise, rôles testés, contre-audit, livrables, qualification, cadre et prix : la grille qui rend deux devis comparables autrement que par leur total.
- ArticleCombien coûte un test d’intrusion, et ce qui fait varier le prixCe qui fait varier le prix d’un test d’intrusion (périmètre, rôles, environnement, niveau de preuve) et les prix d’entrée publiés avec ce qu’ils couvrent.
- ComparatifTest en boîte noire ou boîte grise : quelle différence et lequel choisir ?Un test sans aucune information ou avec comptes et documentation. La boîte grise donne plus de résultats par euro dépensé ; la boîte noire répond à une autre question. Quand choisir chacune.
Termes liés
- MéthodeTest d’intrusion : définitionUne simulation d’attaque autorisée et encadrée, menée par des analystes, qui cherche à démontrer ce qu’un attaquant pourrait obtenir sur un périmètre défini.
- MéthodeRed team : définitionUn exercice qui simule un adversaire réaliste, avec un objectif précis (accéder à une donnée, prendre le contrôle d’un système), sur plusieurs semaines et de manière discrète.
- AttaqueIDOR / BOLA : définitionUn défaut de contrôle d’accès où l’application sert l’objet demandé sans vérifier qu’il appartient à l’utilisateur authentifié.
- TechniqueSurface d’attaque : définitionL’ensemble des points par lesquels un attaquant peut tenter d’entrer dans un système ou d’en extraire des données : services exposés sur Internet, applications, API, comptes, équipements, partenaires, et collaborateurs.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début