![<\/a><\/div>\nLa quatri\u00e8me section du “D\u00e9cret ex\u00e9cutif sur l’am\u00e9lioration de la cybers\u00e9curit\u00e9 du pays<\/a>” a pr\u00e9sent\u00e9 \u00e0 de nombreuses personnes du secteur de la technologie le concept de \u00ab\u00a0cha\u00eene d’approvisionnement logicielle\u00a0\u00bb et sa s\u00e9curisation. Si vous cr\u00e9ez un logiciel et esp\u00e9rez un jour le vendre \u00e0 une ou plusieurs agences f\u00e9d\u00e9rales, vous avoir<\/em> faire attention \u00e0 cela. M\u00eame si vous n’envisagez jamais de vendre \u00e0 un gouvernement, comprendre votre cha\u00eene d’approvisionnement logicielle et apprendre \u00e0 la s\u00e9curiser vous rapportera des dividendes gr\u00e2ce \u00e0 une base de s\u00e9curit\u00e9 plus solide et aux avantages qu’elle offre. Cet article examinera trois fa\u00e7ons de booster votre S\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement logicielle<\/a>.<\/p>\nQuelle est votre cha\u00eene d\u2019approvisionnement logicielle ? Il s’agit essentiellement de tout ce qui entre dans la cr\u00e9ation d’un logiciel\u00a0: depuis l’IDE dans lequel le d\u00e9veloppeur \u00e9crit le code, jusqu’aux d\u00e9pendances tierces, en passant par les syst\u00e8mes de construction et les scripts, jusqu’au mat\u00e9riel et au syst\u00e8me d’exploitation sur lesquels il s’ex\u00e9cute. Des instabilit\u00e9s et des vuln\u00e9rabilit\u00e9s peuvent \u00eatre introduites, de mani\u00e8re malveillante ou non, depuis la cr\u00e9ation jusqu’au d\u00e9ploiement et m\u00eame au-del\u00e0. <\/p>\n1\u00a0: Gardez vos secrets secrets<\/strong><\/h2>\nCertains des incidents de cybers\u00e9curit\u00e9 les plus importants de 2023 se sont produits parce que de mauvais acteurs trouv\u00e9<\/em> secrets en texte brut. Les secrets, dans ce contexte, sont des \u00e9l\u00e9ments tels que des combinaisons de nom d’utilisateur et de mot de passe, des cl\u00e9s API, des cl\u00e9s de signature, etc. Ces cl\u00e9s des royaumes corporatifs ont \u00e9t\u00e9 retrouv\u00e9es l\u00e0 o\u00f9 elles ne devraient pas \u00eatre.<\/p>\nSourcegraph a \u00e9t\u00e9 mis \u00e0 jour <\/a>lorsqu’ils ont publi\u00e9 du code sur une instance publique contenant un jeton d’acc\u00e8s cod\u00e9 en dur. Le jeton a \u00e9t\u00e9 utilis\u00e9 pour cr\u00e9er d’autres comptes et donner aux utilisateurs un acc\u00e8s gratuit \u00e0 l’API Sourcegraph. Un groupe de hackers a eu acc\u00e8s \u00e0 un environnement de d\u00e9bogage interne de Microsoft et trouv\u00e9 une cl\u00e9 de signature dans un vidage sur incident<\/a> qui leur permet de cr\u00e9er des informations d’identification de messagerie.<\/p>\nDes outils comme GitGuardian vous permettent de v\u00e9rifier votre code, \u00e0 la fois ancien et \u00e0 la pointe de la technologie, pour d\u00e9tecter les secrets publi\u00e9s accidentellement ou les tentatives de publication. Il est important de savoir quels secrets ont pu \u00eatre divulgu\u00e9s et d’y rem\u00e9dier, ainsi que de mettre en place des protections sous la forme d’outils automatis\u00e9s et de r\u00e9visions de code pour garantir que d’autres cl\u00e9s ne soient pas divulgu\u00e9es. <\/p>\n2\u00a0: Utilisez SCA pour vous aider \u00e0 cr\u00e9er votre nomenclature<\/strong><\/h2>\nDans le domaine de la fabrication, une nomenclature (BOM) est un inventaire complet qui comprend toutes les mati\u00e8res premi\u00e8res, composants et directives n\u00e9cessaires \u00e0 la construction, \u00e0 la fabrication ou \u00e0 la r\u00e9paration d’un produit ou d’un service. Les r\u00e9glementations et les meilleures pratiques en mati\u00e8re de cybers\u00e9curit\u00e9 adoptent l’id\u00e9e d’une nomenclature logicielle qui assure la transparence et la provenance de tous les \u00e9l\u00e9ments entrant dans la cr\u00e9ation de votre logiciel.<\/p>\nMais vous ne pouvez tout simplement pas cr\u00e9er une nomenclature \u00e0 partir de votre liste de d\u00e9pendances d\u00e9clar\u00e9es. <\/p>\nLes r\u00e9f\u00e9rentiels de packages tels que NPM, PyPI et l’incorporation de frameworks et de biblioth\u00e8ques open source ont \u00e9t\u00e9 salu\u00e9s pour avoir rendu le d\u00e9veloppement de logiciels plus efficace sans avoir \u00e0 r\u00e9inventer les roues. Au lieu de cela, les d\u00e9veloppeurs pouvaient trouver des packages gratuits impl\u00e9mentant les fonctionnalit\u00e9s dont ils avaient besoin et les int\u00e9grer facilement dans leur logiciel. <\/p>\nIls ont \u00e9galement expos\u00e9 les d\u00e9veloppeurs \u00e0 un r\u00e9seau croissant de d\u00e9pendances. Vous aurez peut-\u00eatre l’impression que “des tortues jusqu’en bas<\/a>” car vos d\u00e9pendances ont des d\u00e9pendances qui ont des d\u00e9pendances\u2026 Vous pouvez m\u00eame avoir des sous-d\u00e9pendances sur quatre versions diff\u00e9rentes du m\u00eame package, qui pr\u00e9sentent toutes des vuln\u00e9rabilit\u00e9s diff\u00e9rentes.<\/p>\nLes outils d’analyse de la composition logicielle analysent automatiquement la base de code de votre projet et identifient tous les composants externes que vous utilisez, y compris toutes les tortues jusqu’au bout. Ils effectuent ensuite des v\u00e9rifications pour s’assurer que ces composants sont \u00e0 jour, s\u00e9curis\u00e9s et conformes aux exigences de licence. <\/p>\nCela permet non seulement d’identifier les d\u00e9pendances qui ont des exploits connus afin que vous puissiez les mettre \u00e0 jour ou les remplacer, mais c’est \u00e9galement d’une grande aide lorsque vous devez g\u00e9n\u00e9rer une nomenclature propre pour inspection par les clients potentiels et les r\u00e9gulateurs.<\/p>\n3\u00a0: Allez vous pirater<\/strong><\/h2>\nLe piratage \u00e9thique est plus ancien que la plupart des r\u00e9cents dipl\u00f4m\u00e9s CS. Comme indiqu\u00e9 dans un r\u00e9cent webinaire sur le piratage \u00e9thique<\/a>il s’agit \u00ab d’identifier et d’exploiter les vuln\u00e9rabilit\u00e9s des syst\u00e8mes ou des r\u00e9seaux informatiques de mani\u00e8re responsable et l\u00e9gal<\/em> mani\u00e8re. \u00bb Notez l\u2019accent mis sur \u00ab responsable \u00bb et \u00ab licite \u00bb.<\/p>\nEssentiellement, les pirates \u00e9thiques utilisent la plupart<\/em> des m\u00eames techniques que les pirates “chapeau noir” pour trouver et exploiter les vuln\u00e9rabilit\u00e9s d’un syst\u00e8me. La diff\u00e9rence sur laquelle on ne saurait trop insister est qu\u2019ils le font avec autorisation. Ils s’en tiennent aux syst\u00e8mes qu’ils ont \u00e9t\u00e9 autoris\u00e9s \u00e0 pirater, puis documentent tout pour que leurs d\u00e9couvertes puissent \u00eatre reproduites et analys\u00e9es par l’\u00e9quipe\/client \u00e0 qui ils les rapportent.<\/p>\nM\u00eame si cela peut souvent intervenir \u00e0 un stade ult\u00e9rieur du processus de d\u00e9veloppement, cela reste important. S’ils peuvent d\u00e9terminer vos d\u00e9pendances et cr\u00e9er leur propre SCA qui identifie les d\u00e9pendances vuln\u00e9rables, la partie est termin\u00e9e. S\u2019ils parviennent \u00e0 trouver un point d\u2019entr\u00e9e non surveill\u00e9, la partie est termin\u00e9e. S’ils testent une application Web et trouvent du code de d\u00e9bogage produisant une sortie confidentielle dans la console, la partie est termin\u00e9e. Certaines vuln\u00e9rabilit\u00e9s peuvent \u00eatre un obstacle, d’autres peuvent n\u00e9cessiter simplement la suppression d’une ligne de code de d\u00e9bogage.<\/p>\nInt\u00e9grer le piratage \u00e9thique au processus de publication, rejoindre des programmes de primes aux bogues et bien plus encore peut vous assurer que vous corrigez les probl\u00e8mes avant de devoir vous en excuser, les signaler aux r\u00e9gulateurs et effectuer le nettoyage.<\/p>\nR\u00e9sum\u00e9<\/strong><\/h2>\nQue vous essayiez de plaire aux r\u00e9gulateurs ou aux clients, renforcer la s\u00e9curit\u00e9 de votre cha\u00eene d’approvisionnement logicielle vous permettra de passer plus de temps \u00e0 vendre vos logiciels et moins de temps \u00e0 vous en excuser. Et m\u00eame si ces trois conseils vous donnent une bonne base, vous pouvez en trouver bien plus dans le cadre de s\u00e9curit\u00e9 SLSA. Travailler le cadre et s\u00e9curiser votre cha\u00eene d’approvisionnement est la fa\u00e7on dont vous obtenez (selon les mots du site SLSA<\/a>) “de ‘assez s\u00fbr’ \u00e0 \u00eatre aussi r\u00e9silient que possible, \u00e0 n’importe quel maillon de la cha\u00eene.”<\/p>\n<\/p>\nVous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Trois-facons-de-renforcer-la-securite-de-votre-chaine-dapprovisionnement.jpg\"){kind=link}
La quatri\u00e8me section du “D\u00e9cret ex\u00e9cutif sur l’am\u00e9lioration de la cybers\u00e9curit\u00e9 du pays<\/a>” a pr\u00e9sent\u00e9 \u00e0 de nombreuses personnes du secteur de la technologie le concept de \u00ab\u00a0cha\u00eene d’approvisionnement logicielle\u00a0\u00bb et sa s\u00e9curisation. Si vous cr\u00e9ez un logiciel et esp\u00e9rez un jour le vendre \u00e0 une ou plusieurs agences f\u00e9d\u00e9rales, vous avoir<\/em> faire attention \u00e0 cela. M\u00eame si vous n’envisagez jamais de vendre \u00e0 un gouvernement, comprendre votre cha\u00eene d’approvisionnement logicielle et apprendre \u00e0 la s\u00e9curiser vous rapportera des dividendes gr\u00e2ce \u00e0 une base de s\u00e9curit\u00e9 plus solide et aux avantages qu’elle offre. Cet article examinera trois fa\u00e7ons de booster votre S\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement logicielle<\/a>.<\/p>\n Quelle est votre cha\u00eene d\u2019approvisionnement logicielle ? Il s’agit essentiellement de tout ce qui entre dans la cr\u00e9ation d’un logiciel\u00a0: depuis l’IDE dans lequel le d\u00e9veloppeur \u00e9crit le code, jusqu’aux d\u00e9pendances tierces, en passant par les syst\u00e8mes de construction et les scripts, jusqu’au mat\u00e9riel et au syst\u00e8me d’exploitation sur lesquels il s’ex\u00e9cute. Des instabilit\u00e9s et des vuln\u00e9rabilit\u00e9s peuvent \u00eatre introduites, de mani\u00e8re malveillante ou non, depuis la cr\u00e9ation jusqu’au d\u00e9ploiement et m\u00eame au-del\u00e0. <\/p>\n Certains des incidents de cybers\u00e9curit\u00e9 les plus importants de 2023 se sont produits parce que de mauvais acteurs trouv\u00e9<\/em> secrets en texte brut. Les secrets, dans ce contexte, sont des \u00e9l\u00e9ments tels que des combinaisons de nom d’utilisateur et de mot de passe, des cl\u00e9s API, des cl\u00e9s de signature, etc. Ces cl\u00e9s des royaumes corporatifs ont \u00e9t\u00e9 retrouv\u00e9es l\u00e0 o\u00f9 elles ne devraient pas \u00eatre.<\/p>\n Sourcegraph a \u00e9t\u00e9 mis \u00e0 jour <\/a>lorsqu’ils ont publi\u00e9 du code sur une instance publique contenant un jeton d’acc\u00e8s cod\u00e9 en dur. Le jeton a \u00e9t\u00e9 utilis\u00e9 pour cr\u00e9er d’autres comptes et donner aux utilisateurs un acc\u00e8s gratuit \u00e0 l’API Sourcegraph. Un groupe de hackers a eu acc\u00e8s \u00e0 un environnement de d\u00e9bogage interne de Microsoft et trouv\u00e9 une cl\u00e9 de signature dans un vidage sur incident<\/a> qui leur permet de cr\u00e9er des informations d’identification de messagerie.<\/p>\n Des outils comme GitGuardian vous permettent de v\u00e9rifier votre code, \u00e0 la fois ancien et \u00e0 la pointe de la technologie, pour d\u00e9tecter les secrets publi\u00e9s accidentellement ou les tentatives de publication. Il est important de savoir quels secrets ont pu \u00eatre divulgu\u00e9s et d’y rem\u00e9dier, ainsi que de mettre en place des protections sous la forme d’outils automatis\u00e9s et de r\u00e9visions de code pour garantir que d’autres cl\u00e9s ne soient pas divulgu\u00e9es. <\/p>\n Dans le domaine de la fabrication, une nomenclature (BOM) est un inventaire complet qui comprend toutes les mati\u00e8res premi\u00e8res, composants et directives n\u00e9cessaires \u00e0 la construction, \u00e0 la fabrication ou \u00e0 la r\u00e9paration d’un produit ou d’un service. Les r\u00e9glementations et les meilleures pratiques en mati\u00e8re de cybers\u00e9curit\u00e9 adoptent l’id\u00e9e d’une nomenclature logicielle qui assure la transparence et la provenance de tous les \u00e9l\u00e9ments entrant dans la cr\u00e9ation de votre logiciel.<\/p>\n Mais vous ne pouvez tout simplement pas cr\u00e9er une nomenclature \u00e0 partir de votre liste de d\u00e9pendances d\u00e9clar\u00e9es. <\/p>\n Les r\u00e9f\u00e9rentiels de packages tels que NPM, PyPI et l’incorporation de frameworks et de biblioth\u00e8ques open source ont \u00e9t\u00e9 salu\u00e9s pour avoir rendu le d\u00e9veloppement de logiciels plus efficace sans avoir \u00e0 r\u00e9inventer les roues. Au lieu de cela, les d\u00e9veloppeurs pouvaient trouver des packages gratuits impl\u00e9mentant les fonctionnalit\u00e9s dont ils avaient besoin et les int\u00e9grer facilement dans leur logiciel. <\/p>\n Ils ont \u00e9galement expos\u00e9 les d\u00e9veloppeurs \u00e0 un r\u00e9seau croissant de d\u00e9pendances. Vous aurez peut-\u00eatre l’impression que “des tortues jusqu’en bas<\/a>” car vos d\u00e9pendances ont des d\u00e9pendances qui ont des d\u00e9pendances\u2026 Vous pouvez m\u00eame avoir des sous-d\u00e9pendances sur quatre versions diff\u00e9rentes du m\u00eame package, qui pr\u00e9sentent toutes des vuln\u00e9rabilit\u00e9s diff\u00e9rentes.<\/p>\n Les outils d’analyse de la composition logicielle analysent automatiquement la base de code de votre projet et identifient tous les composants externes que vous utilisez, y compris toutes les tortues jusqu’au bout. Ils effectuent ensuite des v\u00e9rifications pour s’assurer que ces composants sont \u00e0 jour, s\u00e9curis\u00e9s et conformes aux exigences de licence. <\/p>\n Cela permet non seulement d’identifier les d\u00e9pendances qui ont des exploits connus afin que vous puissiez les mettre \u00e0 jour ou les remplacer, mais c’est \u00e9galement d’une grande aide lorsque vous devez g\u00e9n\u00e9rer une nomenclature propre pour inspection par les clients potentiels et les r\u00e9gulateurs.<\/p>\n Le piratage \u00e9thique est plus ancien que la plupart des r\u00e9cents dipl\u00f4m\u00e9s CS. Comme indiqu\u00e9 dans un r\u00e9cent webinaire sur le piratage \u00e9thique<\/a>il s’agit \u00ab d’identifier et d’exploiter les vuln\u00e9rabilit\u00e9s des syst\u00e8mes ou des r\u00e9seaux informatiques de mani\u00e8re responsable et l\u00e9gal<\/em> mani\u00e8re. \u00bb Notez l\u2019accent mis sur \u00ab responsable \u00bb et \u00ab licite \u00bb.<\/p>\n Essentiellement, les pirates \u00e9thiques utilisent la plupart<\/em> des m\u00eames techniques que les pirates “chapeau noir” pour trouver et exploiter les vuln\u00e9rabilit\u00e9s d’un syst\u00e8me. La diff\u00e9rence sur laquelle on ne saurait trop insister est qu\u2019ils le font avec autorisation. Ils s’en tiennent aux syst\u00e8mes qu’ils ont \u00e9t\u00e9 autoris\u00e9s \u00e0 pirater, puis documentent tout pour que leurs d\u00e9couvertes puissent \u00eatre reproduites et analys\u00e9es par l’\u00e9quipe\/client \u00e0 qui ils les rapportent.<\/p>\n M\u00eame si cela peut souvent intervenir \u00e0 un stade ult\u00e9rieur du processus de d\u00e9veloppement, cela reste important. S’ils peuvent d\u00e9terminer vos d\u00e9pendances et cr\u00e9er leur propre SCA qui identifie les d\u00e9pendances vuln\u00e9rables, la partie est termin\u00e9e. S\u2019ils parviennent \u00e0 trouver un point d\u2019entr\u00e9e non surveill\u00e9, la partie est termin\u00e9e. S’ils testent une application Web et trouvent du code de d\u00e9bogage produisant une sortie confidentielle dans la console, la partie est termin\u00e9e. Certaines vuln\u00e9rabilit\u00e9s peuvent \u00eatre un obstacle, d’autres peuvent n\u00e9cessiter simplement la suppression d’une ligne de code de d\u00e9bogage.<\/p>\n Int\u00e9grer le piratage \u00e9thique au processus de publication, rejoindre des programmes de primes aux bogues et bien plus encore peut vous assurer que vous corrigez les probl\u00e8mes avant de devoir vous en excuser, les signaler aux r\u00e9gulateurs et effectuer le nettoyage.<\/p>\n Que vous essayiez de plaire aux r\u00e9gulateurs ou aux clients, renforcer la s\u00e9curit\u00e9 de votre cha\u00eene d’approvisionnement logicielle vous permettra de passer plus de temps \u00e0 vendre vos logiciels et moins de temps \u00e0 vous en excuser. Et m\u00eame si ces trois conseils vous donnent une bonne base, vous pouvez en trouver bien plus dans le cadre de s\u00e9curit\u00e9 SLSA. Travailler le cadre et s\u00e9curiser votre cha\u00eene d’approvisionnement est la fa\u00e7on dont vous obtenez (selon les mots du site SLSA<\/a>) “de ‘assez s\u00fbr’ \u00e0 \u00eatre aussi r\u00e9silient que possible, \u00e0 n’importe quel maillon de la cha\u00eene.”<\/p>\n <\/p>\n1\u00a0: Gardez vos secrets secrets<\/strong><\/h2>\n
2\u00a0: Utilisez SCA pour vous aider \u00e0 cr\u00e9er votre nomenclature<\/strong><\/h2>\n
3\u00a0: Allez vous pirater<\/strong><\/h2>\n
R\u00e9sum\u00e9<\/strong><\/h2>\n