Boîte noire, grise ou blanche
boîte noire · boîte grise · boîte blanche · black box · grey box · gray box · white box · crystal box
Niveau d’information confié aux testeurs avant un audit : rien (boîte noire), un accès utilisateur ou une documentation partielle (boîte grise), ou tout, code source compris (boîte blanche).
En pratique
La boîte noire reproduit un attaquant extérieur qui part de zéro : c’est réaliste, mais une partie du temps payé passe en reconnaissance. La boîte grise, la plus courante, fournit par exemple un compte client pour tester ce qu’un utilisateur malveillant pourrait faire. La boîte blanche donne accès au code et à l’architecture : c’est la plus efficace pour trouver un maximum de failles en peu de jours. Le choix figure dans la convention d’audit, avec le périmètre.
Cas fictif : pour son application de prise de rendez-vous, une clinique choisit une boîte grise avec deux comptes (patient et secrétariat). Le testeur vérifie qu’un patient ne peut pas consulter les rendez-vous d’un autre, un contrôle qu’une boîte noire n’aurait peut-être jamais atteint.
