Le 2 novembre 1992, un étudiant de l’Université Purdue a publié un outil qui lui avait pris un peu plus de deux mois à écrire — et qui, sans qu’il le sache, allait devenir la norme de facto pour détecter les intrusions sur les systèmes Unix pendant la décennie suivante. Ce n’était pas un hasard s’il avait choisi cette date précise : c’était exactement le quatrième anniversaire, jour pour jour, de la cyberattaque qui l’avait amené jusque-là.
L’étudiant qui a choisi Purdue pour une seule raison
Gene Kim a choisi d’étudier à l’Université Purdue en grande partie parce qu’il avait lu un document bien précis : l’analyse technique que le professeur Eugene Spafford avait écrite sur le ver Morris, ce programme qui avait mis à terre près de 10 % de tout Internet en une seule nuit en 1988. Spafford fut l’un des chercheurs qui disséquèrent le ver alors qu’il se propageait encore, et son analyse devint une lecture incontournable pour quiconque s’intéressait à la sécurité informatique.
Un projet d’études indépendant, pas une startup
En 1992, alors étudiant de premier cycle, Kim suivit un cours d’études indépendantes avec Spafford lui-même comme tuteur. C’est de là qu’est né Tripwire : un programme qui faisait quelque chose de conceptuellement très simple — calculer l’empreinte de chaque fichier important d’un système Unix et la conserver comme référence — mais que personne n’avait encore présenté sous la forme d’un outil qu’un administrateur pouvait réellement utiliser. Il lui fallut un peu plus de deux mois pour l’écrire.
Pourquoi cette date n’était pas un hasard
Tripwire fut rendu public le 2 novembre 1992, distribué à plus de cent testeurs à travers le monde. Cette date n’a pas été choisie au hasard : c’était exactement le quatrième anniversaire du ver Morris — la raison même pour laquelle Kim était venu à Purdue. En quelques années, Tripwire devint l’un des outils de détection d’intrusion les plus utilisés du monde Unix, et en 1997, Kim en fit une entreprise aux côtés de Wyatt Starnes.
L’idée qui est toujours vivante 34 ans plus tard
Ce que Tripwire faisait en 1992 est, dans l’essentiel, exactement ce que fait aujourd’hui tout système d’Intégrité des Fichiers (FIM) : calculer l’empreinte d’un fichier, la conserver, et alerter dès que cette empreinte change. Il n’a jamais été nécessaire de réinventer l’idée — seulement de la rendre plus rapide, plus automatique, et de l’appliquer à des systèmes qui n’existaient même pas en 1992, comme WordPress.
Et quel est le rapport avec votre WordPress ?
- L’idée n’a pas vieilli en plus de trois décennies. Comparer l’empreinte d’un fichier à celle d’hier reste l’une des façons les plus fiables de savoir si quelqu’un a touché à quelque chose sans autorisation — en 1992 comme en 2026.
- Elle est née de l’étude d’une attaque réelle, pas de la théorie. Tripwire n’est pas sorti d’un laboratoire abstrait : il est né de quelqu’un qui avait étudié en profondeur comment se produit une véritable intrusion et quelle trace elle laisse.
- Détecter n’est pas la même chose que reconnaître la menace. Tripwire n’a jamais eu besoin de savoir de quel type d’attaque il s’agissait — il avait seulement besoin de savoir que quelque chose avait changé. C’est toujours l’avantage clé d’un bon FIM par rapport au fait de se fier uniquement à des signatures de malware connues.
Trente-quatre ans après cette nuit de novembre à Purdue, la question que se posait Tripwire est toujours la même que celle que se pose aujourd’hui tout système d’Intégrité des Fichiers sur un WordPress : ce fichier est-il le même qu’hier ? Tant que la réponse peut être vérifiée en quelques minutes et non en plusieurs jours, l’idée d’un étudiant de 1992 reste, sans avoir besoin d’aucune refonte, l’une des défenses les plus simples et les plus efficaces qui soient.