Google a annonc\u00e9 jeudi qu’il recherchait des contributeurs pour une nouvelle initiative open source appel\u00e9e Graphique pour comprendre la composition des artefacts<\/b>\u00e9galement connu sous le nom de GUAC, dans le cadre de ses efforts continus pour renforcer la cha\u00eene d’approvisionnement en logiciels.<\/p>\n
“GUAC r\u00e9pond \u00e0 un besoin cr\u00e9\u00e9 par les efforts croissants de l’\u00e9cosyst\u00e8me pour g\u00e9n\u00e9rer des m\u00e9tadonn\u00e9es de construction de logiciels, de s\u00e9curit\u00e9 et de d\u00e9pendance”, Brandon Lum, Mihai Maruseac et Isaac Hepworth de Google a dit<\/a> dans un post partag\u00e9 avec The Hacker News.<\/p>\n “Le GUAC vise \u00e0 d\u00e9mocratiser la disponibilit\u00e9 de ces informations de s\u00e9curit\u00e9 en les rendant librement accessibles et utiles pour toutes les organisations, pas seulement celles disposant d’un financement informatique et de s\u00e9curit\u00e9 \u00e0 l’\u00e9chelle de l’entreprise.”<\/p>\n La cha\u00eene d’approvisionnement logicielle est devenue un vecteur d’attaque lucratif pour les acteurs de la menace, dans lequel l’exploitation d’une seule faiblesse – comme on l’a vu dans le cas de SolarWinds et de Log4Shell – ouvre une voie suffisamment longue pour parcourir la cha\u00eene d’approvisionnement et voler des donn\u00e9es sensibles, planter des logiciels malveillants, et prendre le contr\u00f4le des syst\u00e8mes appartenant aux clients en aval.<\/p>\n Google, l’ann\u00e9e derni\u00e8re, a publi\u00e9 un cadre appel\u00e9 SLSA (abr\u00e9viation de niveaux de cha\u00eene d’approvisionnement pour les artefacts logiciels) qui vise \u00e0 garantir l’int\u00e9grit\u00e9 des progiciels et \u00e0 emp\u00eacher les modifications non autoris\u00e9es.<\/p>\n Il a \u00e9galement lanc\u00e9 une version mise \u00e0 jour de Security Scorecards, qui identifie<\/a> le risque que les d\u00e9pendances tierces peuvent introduire dans un projet, permettant aux d\u00e9veloppeurs de prendre des d\u00e9cisions \u00e9clair\u00e9es sur l’acceptation de code vuln\u00e9rable ou d’envisager d’autres alternatives.<\/p>\n En ao\u00fbt dernier, Google a en outre introduit un programme de primes de bogues pour identifier les vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 couvrant un certain nombre de projets tels que Angular, Bazel, Golang, Protocol Buffers et Fuchsia.<\/p>\n GUAC est le dernier effort de l’entreprise pour renforcer la sant\u00e9 de la cha\u00eene d’approvisionnement. Il y parvient en agr\u00e9geant les m\u00e9tadonn\u00e9es de s\u00e9curit\u00e9 logicielle \u00e0 partir d’un m\u00e9lange de sources publiques et priv\u00e9es dans un \u00ab graphe de connaissances \u00bb qui peut r\u00e9pondre aux questions sur les risques de la cha\u00eene d’approvisionnement.<\/p>\n Les donn\u00e9es qui sous-tendent cette architecture sont issues de Sigstore<\/a>GitHub, Vuln\u00e9rabilit\u00e9s Open Source<\/a> (OSV<\/a>), grignoter<\/a>et trivial<\/a>entre autres, pour \u00e9tablir des relations significatives entre les vuln\u00e9rabilit\u00e9s, les projets, les ressources, les d\u00e9veloppeurs, les artefacts et les r\u00e9f\u00e9rentiels.<\/p>\n “L’interrogation de ce graphique peut g\u00e9n\u00e9rer des r\u00e9sultats organisationnels de plus haut niveau tels que l’audit, la politique, la gestion des risques et m\u00eame l’assistance aux d\u00e9veloppeurs”, a d\u00e9clar\u00e9 Google.<\/p>\n Autrement dit, l’id\u00e9e est de relier les diff\u00e9rents points entre un projet et son d\u00e9veloppeur, une vuln\u00e9rabilit\u00e9 et la version logicielle correspondante, et l’artefact et le r\u00e9f\u00e9rentiel source auquel il appartient.<\/p>\n L’objectif est donc non seulement de permettre aux organisations de d\u00e9terminer si elles sont affect\u00e9es par une vuln\u00e9rabilit\u00e9 sp\u00e9cifique, mais \u00e9galement d’estimer le rayon de l’explosion en cas de compromission de la cha\u00eene d’approvisionnement.<\/p>\n Cela dit, Google semble \u00e9galement \u00eatre conscient des menaces potentielles qui pourraient saper le GUAC, y compris les sc\u00e9narios dans lesquels le syst\u00e8me est amen\u00e9 \u00e0 ing\u00e9rer des informations falsifi\u00e9es sur les artefacts et leurs m\u00e9tadonn\u00e9es, qu’il s’attend \u00e0 att\u00e9nuer gr\u00e2ce \u00e0 la v\u00e9rification cryptographique des documents de donn\u00e9es.<\/p>\n “[GUAC] vise \u00e0 satisfaire le cas d’utilisation d’\u00eatre un moniteur pour la cha\u00eene d’approvisionnement publique et les documents de s\u00e9curit\u00e9 ainsi que pour une utilisation interne par les organisations pour demander des informations sur les artefacts qu’ils utilisent \u00bb, le g\u00e9ant de l’internet c’est not\u00e9<\/a>.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/Des-chercheurs-detaillent-la-faille-Azure-SFX-qui-aurait-pu.png\")
<\/a><\/div>\n![\"Cha\u00eene](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1666290574_147_Google-lance-le-projet-Open-Source-GUAC-pour-securiser-la.jpg\" "\\"Cha\u00eene")
<\/div>\n![\"Cha\u00eene](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1666290575_194_Google-lance-le-projet-Open-Source-GUAC-pour-securiser-la.jpg\" "\\"Cha\u00eene")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n