Chercheur en cybersécurité : découvrir les vulnérabilités et inventer les défenses de demain

Qu’est-ce qu’un chercheur en sécurité des systèmes d’information ?

Le chercheur en cybersécurité produit de la connaissance nouvelle. C’est ce qui le distingue de tous les autres métiers de cette bibliothèque : les autres appliquent, déploient, analysent ou pilotent ce qui existe ; lui travaille sur ce qui n’existe pas encore.

Le Panorama des métiers de la cybersécurité de l’ANSSI décrit ce profil sous l’intitulé « Chercheur en sécurité des systèmes d’information », dans la famille « Conseil, services et recherche », avec pour équivalent anglais Cyber security researcher. Il précise qu’il mobilise des compétences techniques et académiques au service d’une problématique de sécurité, pour contribuer à l’émergence de technologies novatrices et de savoirs nouveaux, et qu’il peut également participer au développement de produits, procédés ou services innovants.

Une précision d’emblée : ce métier ne se réduit pas au bug bounty. Chercher des vulnérabilités dans des produits existants n’est qu’un de ses nombreux domaines.

Les appellations rencontrées

• Chercheur en sécurité des systèmes d’information, dans la terminologie ANSSI
• Chercheur en cybersécurité
• Security Researcher
• Cybersecurity Researcher
• Vulnerability Researcher, pour les spécialités orientées découverte de failles
• Research Scientist in Cybersecurity, en contexte académique international

Les domaines de recherche

Le champ est vaste, et aucun chercheur ne le couvre. Chacun travaille sur un domaine précis, parfois sur une question très étroite pendant plusieurs années.

Ce que la recherche française travaille

Le document de synthèse publié par Inria en mai 2019 sur les défis et axes de recherche en cybersécurité donne une photographie utile. Il identifie la cryptologie comme le domaine le plus important, représentant environ un tiers des effectifs concernés, suivie des méthodes formelles appliquées à la sécurité et à la protection de la vie privée. Viennent ensuite les services de sécurité — authentification, contrôle d’accès, détection d’intrusion —, la protection de la vie privée et l’anonymisation des données, et la sécurité des systèmes critiques incluant le cloud, les systèmes industriels et les objets connectés.

Le même document relève que la sécurité matérielle et l’investigation numérique y sont moins représentées que dans le paysage académique français plus large — une indication utile pour qui choisit un laboratoire en fonction de son sujet.

Recherche académique et recherche industrielle

Le métier s’exerce dans deux mondes aux règles différentes. Le choix engage le type de sujets traités, le rythme de travail et le parcours d’accès.

1. La recherche académique

   Universités, écoles d’ingénieurs, laboratoires publics — Inria et le CNRS en sont des acteurs majeurs en France. Liberté de sujet plus grande, horizon long, valorisation par la publication, l’encadrement de doctorants et la participation à des projets collaboratifs. Le doctorat y est de fait incontournable.

2. La recherche industrielle

   Éditeurs de solutions de sécurité, constructeurs, laboratoires privés, équipes de vulnerability research, CERT. Sujets davantage orientés par le produit ou par la menace observée, contraintes de calendrier plus fortes, publication parfois limitée par la confidentialité. Le doctorat n’y est pas systématiquement exigé.

Des ponts réels entre les deux

Ces deux univers ne sont pas étanches. Des chercheurs académiques rejoignent l’industrie, et des chercheurs industriels contribuent à des travaux académiques ou co-encadrent des thèses. Les dispositifs de thèse en partenariat avec une entreprise constituent d’ailleurs l’une des passerelles les plus fréquentes, et un moyen de découvrir les deux mondes avant de choisir.

Ses activités

1. Établir l’état de l’art

   Savoir précisément ce qui a déjà été publié sur la question. C’est ce qui évite de refaire ce qui existe, et ce qui permet de situer sa propre contribution.

2. Formuler des hypothèses

   Poser une question à laquelle on peut répondre, et concevoir l’expérience qui y répondra. Une question mal posée produit des mois de travail inexploitable.

3. Concevoir et mener un projet de recherche

   L’ANSSI cite explicitement la conception, la présentation et la conduite d’un projet de recherche en autonomie ou en partenariat avec des pairs, au sein de son unité comme avec des partenaires externes.

4. Expérimenter

   Mettre les hypothèses à l’épreuve. Une large part des expériences ne donne rien de publiable, et c’est le fonctionnement normal du métier.

5. Développer des prototypes

   Écrire le code nécessaire à la démonstration. Un prototype de recherche doit prouver quelque chose, pas fonctionner en production.

6. Analyser et faire du reverse engineering

   Selon la spécialité : comprendre le fonctionnement interne d’un système, d’un protocole ou d’un code dont on ne dispose pas des sources.

7. Reproduire les résultats

   Les siens comme ceux des autres. Un résultat non reproductible n’a aucune valeur scientifique, et la reproduction est une contribution à part entière.

8. Publier

   Rédiger, soumettre, répondre aux relecteurs, présenter en conférence. La publication est le mode de validation du travail par la communauté.

9. Assurer la veille

   L’ANSSI mentionne la veille scientifique et technologique et l’anticipation des problématiques opérationnelles et des défis à venir du domaine.

10. S’insérer dans un écosystème

    Collaborations, projets communs, relecture d’articles, participation à des comités. La recherche est une activité collective, même quand le travail est solitaire.

11. Contribuer au transfert

    Transformer un résultat de recherche en capacité utilisable : outil, méthode, contribution à un produit. L’ANSSI note que le chercheur peut participer au développement de produits, procédés ou services innovants.

La divulgation responsable

Lorsqu’un chercheur découvre une vulnérabilité dans un produit utilisé, une question se pose immédiatement : que faire de cette information ? La pratique établie dans la communauté répond par la divulgation responsable.

1. Valider

   Confirmer que la vulnérabilité est réelle, comprendre sa portée exacte et ses conditions d’exploitation, sans surestimer ni sous-estimer l’impact.

2. Documenter

   Décrire précisément la faiblesse, les versions concernées et les conditions de reproduction, de façon à ce que l’éditeur puisse la corriger.

3. Signaler

   Transmettre l’information à l’éditeur concerné par le canal prévu à cet effet, ou à une structure de coordination telle qu’un CERT lorsque l’éditeur est injoignable ou que la vulnérabilité concerne plusieurs acteurs.

4. Laisser un délai de correction

   Accorder à l’éditeur un temps raisonnable pour produire et diffuser un correctif. Ce délai fait l’objet d’usages communément admis dans la communauté.

5. Coordonner la publication

   Publier de préférence une fois le correctif disponible, afin que les utilisateurs puissent se protéger avant que l’information ne devienne exploitable par d’autres.

6. Publier

   Diffuser l’analyse, souvent sous forme d’avis ou d’article. La publication fait progresser la connaissance collective et permet à d’autres produits d’éviter la même erreur.

L’objectif de cette démarche est simple : que les utilisateurs disposent d’une correction avant que l’information ne circule. Cette fiche n’a pas vocation à décrire des techniques d’exploitation.

Chercheur, pentester, cryptologue, développeur, analyste de la menace

1. Chercheur en sécurité des SI

   Produit de la connaissance nouvelle, sans obligation de résultat dans un délai fixé. Valorisation par la publication et le transfert.

2. Pentester

   Applique des techniques connues à un système donné, en temps contraint, pour produire un rapport utile au client. Un pentester très spécialisé peut faire de la recherche.

3. Cryptologue

   Chercheur spécialisé sur les mécanismes cryptographiques. Un sous-ensemble du champ de la recherche en sécurité, particulièrement développé en France.

4. Développeur de solutions de sécurité

   Construit un produit destiné à des clients, avec une exigence de fiabilité et de maintenance que le prototype de recherche n’a pas.

5. Analyste de la menace cyber

   Analyse les menaces actuelles pour produire du renseignement exploitable. Horizon opérationnel, là où le chercheur travaille sur des horizons plus longs.

Ces frontières sont poreuses, et les passages fréquents. Un chercheur peut rejoindre une équipe produit, un pentester devenir Vulnerability Researcher, un analyste de la menace publier des travaux de recherche. Ce qui distingue le chercheur, c’est la finalité : produire du savoir nouveau.

Les qualités attendues

Ce métier demande un tempérament particulier, que l’appétence technique seule ne suffit pas à définir.

• Curiosité poussée : vouloir comprendre pourquoi, pas seulement comment s’en servir
• Méthode scientifique : formuler, expérimenter, douter, recommencer
• Tolérance à l’échec : la majorité des pistes ne mène nulle part, et c’est normal
• Autonomie : organiser son travail sur des mois sans consignes détaillées
• Patience : certains résultats demandent des années
• Rigueur : distinguer ce que l’expérience démontre de ce qu’elle suggère
• Anglais : lire et écrire couramment dans la langue de la littérature du domaine
• Capacité rédactionnelle : un résultat non publié n’existe pas pour la communauté
• Esprit collectif : relire, reproduire, collaborer, malgré la solitude du travail

La qualité la plus discriminante est la tolérance à l’incertitude prolongée. Beaucoup d’excellents techniciens s’aperçoivent qu’ils préfèrent résoudre des problèmes dont la solution existe.

Quel parcours pour devenir chercheur ?

Le Panorama des métiers de l’ANSSI indique une formation allant de Bac+5 au doctorat ou post-doctorat, jusqu’à l’habilitation à diriger des recherches. Cette amplitude reflète les deux univers du métier.

La voie académique

Le doctorat n’est pas ici une formalité administrative : c’est le processus par lequel on apprend la méthode de recherche, sous encadrement, sur trois à quatre ans. Il n’existe pas d’équivalent pour cette voie.

La voie industrielle

Ici, le doctorat n’est pas systématiquement exigé. Ce qui est regardé, c’est ce que vous avez démontré : vulnérabilités découvertes et divulguées, outils publiés, présentations en conférence, contributions reconnues par la communauté. Ce niveau se construit sur plusieurs années de pratique intensive.

Ne présentez jamais le doctorat comme une obligation universelle de ce métier — ni comme facultatif pour la recherche académique. Les deux affirmations seraient fausses.

Où exerce-t-on ce métier ?

Un point à intégrer dans un projet professionnel : les postes sont peu nombreux et très sélectifs dans les deux univers. Côté académique, les recrutements sont rares et suivent des campagnes annuelles. Côté industriel, même les grands éditeurs entretiennent des équipes de recherche de taille réduite. C’est un métier que l’on choisit par appétence, pas par opportunité de marché.

Avantages et contraintes du métier

• Liberté intellectuelle et travail sur des questions ouvertes
• Contribution durable : un résultat publié reste acquis à la communauté
• Apprentissage permanent, au plus haut niveau technique
• Reconnaissance par les pairs et visibilité internationale
• Collaboration avec des équipes de très haut niveau
• Peu d’astreintes : le rythme est celui des projets de recherche

• Cursus long, sélectif et sans raccourci pour la voie académique
• Postes peu nombreux, dans les deux univers
• Longues périodes sans résultat exploitable
• Pression de la publication et sélectivité des conférences
• Financements par projets, avec une précarité réelle en début de parcours académique
• Difficulté à faire comprendre son travail hors de son domaine