Cela peut surprendre, mais la gestion des secrets est devenue l’\u00e9l\u00e9phant dans la salle AppSec. Alors que les vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 telles que les vuln\u00e9rabilit\u00e9s et expositions communes (CVE) font souvent la une des journaux dans le monde de la cybers\u00e9curit\u00e9, la gestion des secrets reste un probl\u00e8me n\u00e9glig\u00e9 qui peut avoir des cons\u00e9quences imm\u00e9diates et importantes pour la s\u00e9curit\u00e9 de l’entreprise. <\/p>\n
Une \u00e9tude r\u00e9cente de GitGuardian a r\u00e9v\u00e9l\u00e9 que 75\u00a0% des d\u00e9cideurs informatiques aux \u00c9tats-Unis et au Royaume-Uni ont signal\u00e9 au moins un secret divulgu\u00e9 \u00e0 partir d’une application, 60\u00a0% causant des probl\u00e8mes \u00e0 l’entreprise ou aux employ\u00e9s. \u00c9tonnamment, moins de la moiti\u00e9 des r\u00e9pondants (48 %) \u00e9taient confiants dans leur capacit\u00e9 \u00e0 prot\u00e9ger les secrets des applications \u00ab dans une large mesure \u00bb.<\/p>\n
L’\u00e9tude, nomm\u00e9e Voix des praticiens\u00a0: L’\u00e9tat des secrets dans AppSec<\/strong> (disponible en t\u00e9l\u00e9chargement gratuit ici<\/a>), apporte un regard neuf sur la gestion des secrets, souvent r\u00e9duite \u00e0 des clich\u00e9s qui ne refl\u00e8tent pas la r\u00e9alit\u00e9 op\u00e9rationnelle des services d’ing\u00e9nierie. <\/p>\n Malgr\u00e9 leur omnipr\u00e9sence dans les op\u00e9rations modernes de cloud et de d\u00e9veloppement, les secrets restent un probl\u00e8me \u00e9pineux, m\u00eame pour les organisations les plus matures. La multiplication du nombre de secrets utilis\u00e9s simultan\u00e9ment dans le cycle de d\u00e9veloppement fait qu’il est trop facile de s’affranchir du contr\u00f4le des bonnes mesures de s\u00e9curit\u00e9 et des “fuites”.<\/p>\n Lorsqu’un secret a fui, il n’est plus un secret et est accessible aux syst\u00e8mes ou aux personnes non autoris\u00e9s pendant une certaine dur\u00e9e. Les fuites se produisent principalement en interne car les secrets sont copi\u00e9s et coll\u00e9s dans les fichiers de configuration, les fichiers de code source, les e-mails, les applications de messagerie, etc. Surtout, si un d\u00e9veloppeur code en dur des secrets dans son code ou ses fichiers de configuration et que le code est pouss\u00e9 vers un r\u00e9f\u00e9rentiel GitHub, ces secrets sont \u00e9galement pouss\u00e9s. Un autre sc\u00e9nario du pire des cas se produit lorsqu’un acteur malveillant parvient \u00e0 mettre la main sur des informations d’identification divulgu\u00e9es en interne apr\u00e8s l’acc\u00e8s initial, similaire \u00e0 ce qui s’est pass\u00e9 l’ann\u00e9e derni\u00e8re pour Uber<\/a>.<\/p>\n L’\u00e9tude Voice of Practioners montre que le danger des secrets expos\u00e9s est reconnu par une grande majorit\u00e9 des personnes interrog\u00e9es. Soixante-quinze pour cent des personnes interrog\u00e9es ont d\u00e9clar\u00e9 qu’une fuite secr\u00e8te s’\u00e9tait produite dans leur organisation dans le pass\u00e9, et 60\u00a0% ont reconnu qu’elle avait caus\u00e9 de graves probl\u00e8mes \u00e0 l’entreprise, aux employ\u00e9s ou aux deux.<\/p>\n Interrog\u00e9s sur les principaux points de risque au sein de leurs cha\u00eenes d’approvisionnement en logiciels, 58\u00a0% ont trouv\u00e9 le “code source et les r\u00e9f\u00e9rentiels” comme principal domaine de risque, avec 53\u00a0% pour les “d\u00e9pendances open source” et 47\u00a0% pour les “secrets cod\u00e9s en dur”.<\/p>\n N\u00e9anmoins, les r\u00e9ponses indiquent un \u00e9cart important de maturit\u00e9. Plus pr\u00e9cis\u00e9ment, moins de la moiti\u00e9 des r\u00e9pondants (48\u00a0%) sont confiants dans leur capacit\u00e9 \u00e0 prot\u00e9ger les secrets des applications dans une large mesure\u00a0:<\/p>\nProt\u00e9ger les secrets des applications<\/h2>\n
![\"Prot\u00e9ger](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/1686684026_852_Plus-de-la-moitie-des-responsables-de-la-securite-manquent.jpg\" "\\"Prot\u00e9ger")
<\/td>\n<\/tr>\n