Les secrets sont cens\u00e9s \u00eatre cach\u00e9s ou, \u00e0 tout le moins, connus uniquement d’un ensemble sp\u00e9cifique et limit\u00e9 d’individus (ou de syst\u00e8mes). Sinon, ce ne sont pas vraiment des secrets. Dans la vie personnelle, un secret r\u00e9v\u00e9l\u00e9 peut endommager les relations, conduire \u00e0 la stigmatisation sociale ou, \u00e0 tout le moins, \u00eatre embarrassant. Dans la vie professionnelle d’un d\u00e9veloppeur ou d’un ing\u00e9nieur en s\u00e9curit\u00e9 des applications, les cons\u00e9quences de la divulgation de secrets peuvent entra\u00eener des failles de s\u00e9curit\u00e9, des fuites de donn\u00e9es et, bien s\u00fbr, \u00eatre \u00e9galement embarrassantes. Et bien qu’il existe des outils disponibles pour d\u00e9tecter le code source et les r\u00e9f\u00e9rentiels de code, il existe peu d’options pour identifier les secrets dans le texte brut, les documents, les e-mails, les journaux de discussion, les syst\u00e8mes de gestion de contenu, etc.<\/p>\n
Que sont les secrets\u00a0?<\/strong><\/h2>\nDans le contexte des applications, les secrets sont des informations sensibles telles que les mots de passe, les cl\u00e9s API, les cl\u00e9s cryptographiques et d’autres donn\u00e9es confidentielles dont une application a besoin pour fonctionner mais ne doivent pas \u00eatre expos\u00e9es \u00e0 des utilisateurs non autoris\u00e9s. Les secrets sont g\u00e9n\u00e9ralement stock\u00e9s en toute s\u00e9curit\u00e9 et accessibles par programmation par l’application en cas de besoin.<\/p>\n
L’utilisation de secrets est un aspect essentiel de la s\u00e9curisation des applications. L’acc\u00e8s non autoris\u00e9 \u00e0 ces informations sensibles peut entra\u00eener des failles de s\u00e9curit\u00e9 et d’autres activit\u00e9s malveillantes. Pour prot\u00e9ger les secrets, les d\u00e9veloppeurs, les administrateurs syst\u00e8me et les ing\u00e9nieurs en s\u00e9curit\u00e9 utilisent diverses techniques de s\u00e9curit\u00e9 telles que le chiffrement, le stockage s\u00e9curis\u00e9 et les m\u00e9canismes de contr\u00f4le d’acc\u00e8s pour garantir que seuls les utilisateurs autoris\u00e9s peuvent y acc\u00e9der. De plus, ils mettent en \u0153uvre les meilleures pratiques telles que la rotation r\u00e9guli\u00e8re des mots de passe et des cl\u00e9s et la limitation de la port\u00e9e de l’acc\u00e8s aux secrets \u00e0 ce qui est n\u00e9cessaire au fonctionnement de l’application.<\/p>\n
Les secrets de la cha\u00eene d’approvisionnement logicielle<\/strong><\/h2>\nLes secrets sont un \u00e9l\u00e9ment essentiel de la s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement logicielle, qui englobe la collaboration jusqu’au d\u00e9ploiement, et tout ce qui se trouve entre les deux. <\/p>\n
Un secret, comme une cl\u00e9 d’acc\u00e8s ou un mot de passe, est souvent la seule chose qui se dresse entre un attaquant et des donn\u00e9es ou des syst\u00e8mes sensibles. Par cons\u00e9quent, il est essentiel de garder ces secrets confidentiels et s\u00e9curis\u00e9s. Lorsque des secrets sont compromis, cela peut entra\u00eener une violation de donn\u00e9es d\u00e9vastatrice, qui peut causer d’importants dommages financiers et \u00e0 la r\u00e9putation d’une organisation. <\/p>\n
Les secrets sont une cible fr\u00e9quente des attaques de la cha\u00eene d’approvisionnement logicielle. Les attaquants ciblent souvent des secrets pour acc\u00e9der aux syst\u00e8mes, aux donn\u00e9es ou aux serveurs de l’entreprise. Ils peuvent facilement obtenir ces secrets s’ils ont \u00e9t\u00e9 divulgu\u00e9s par erreur \u00e0 une source publique. La protection des secrets dans la s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement logicielle est essentielle pour s’assurer que les attaquants ne peuvent pas les exploiter pour compromettre les syst\u00e8mes et les donn\u00e9es de l’entreprise. Une bonne gestion des secrets peut aider \u00e0 emp\u00eacher l’acc\u00e8s non autoris\u00e9 aux syst\u00e8mes et donn\u00e9es critiques, prot\u00e9geant ainsi les organisations des attaques de la cha\u00eene d’approvisionnement.<\/p>\n
Comment gardez-vous les secrets secrets\u00a0?<\/strong><\/h2>\nPour vous prot\u00e9ger contre les fuites de secrets, vous pouvez utiliser les pratiques suivantes\u00a0:<\/p>\n
\n- Utilisez des variables d’environnement pour stocker les secrets\u00a0: au lieu de coder en dur les secrets dans votre code, stockez-les dans des variables d’environnement. Cela facilite la gestion des secrets et garantit qu’ils ne sont pas accidentellement engag\u00e9s dans un r\u00e9f\u00e9rentiel de code.<\/li>\n
- Utilisez un fichier .gitignore\u00a0: cr\u00e9ez un fichier .gitignore pour exclure les fichiers contenant des secrets du suivi par Git. Cela emp\u00eachera que des informations sensibles soient accidentellement valid\u00e9es dans un r\u00e9f\u00e9rentiel de code. Si vous suivez le point 1 ci-dessus, assurez-vous que si les secrets sont stock\u00e9s dans un fichier de variable d’environnement, ce fichier est sp\u00e9cifi\u00e9 dans .gitignore.<\/li>\n
- Utilisez un outil de gestion des secrets\u00a0: un outil de gestion des secrets peut aider \u00e0 stocker et \u00e0 g\u00e9rer en toute s\u00e9curit\u00e9 les secrets des applications ou du syst\u00e8me. Cela garantit que les secrets sont chiffr\u00e9s et accessibles uniquement aux utilisateurs autoris\u00e9s.<\/li>\n
- Utilisez le chiffrement\u00a0: chiffrez les secrets avant de les stocker dans des r\u00e9f\u00e9rentiels de code. Cela fournit une couche de s\u00e9curit\u00e9 suppl\u00e9mentaire et rend plus difficile pour les attaquants d’acc\u00e9der aux informations sensibles.<\/li>\n
- Utiliser l’authentification \u00e0 deux facteurs (2FA)\u00a0: activez 2FA pour les r\u00e9f\u00e9rentiels de code afin d’emp\u00eacher tout acc\u00e8s non autoris\u00e9. Cela ajoute une couche de s\u00e9curit\u00e9 suppl\u00e9mentaire et rend plus difficile pour les attaquants d’obtenir un acc\u00e8s non autoris\u00e9 \u00e0 un r\u00e9f\u00e9rentiel de code.<\/li>\n<\/ol>\n
En suivant ces meilleures pratiques, vous pouvez vous prot\u00e9ger contre l’exposition accidentelle d’informations sensibles dans nos r\u00e9f\u00e9rentiels de code et nos gestionnaires de contr\u00f4le des sources. Mais qu’en est-il des autres syst\u00e8mes, tels que les syst\u00e8mes de gestion de contenu, les documents en texte brut, les e-mails, les journaux de discussion et d’autres actifs num\u00e9riques\u00a0? pas <\/em>stock\u00e9 dans un r\u00e9f\u00e9rentiel\u00a0?<\/p>\nPr\u00e9sentation de Too Many Secrets par Checkmarx<\/strong><\/h2>\nToo Many Secrets (2MS) est un projet open source d\u00e9di\u00e9 \u00e0 aider les gens \u00e0 prot\u00e9ger leurs informations sensibles telles que les mots de passe, les informations d’identification et les cl\u00e9s API contre leur apparition sur les sites Web publics et les services de communication. 2MS prend en charge Confluence aujourd’hui et nous ajouterons bient\u00f4t la prise en charge de Discord. De plus, il est \u00e9galement facilement extensible \u00e0 d’autres plateformes de communication ou de collaboration.<\/p>\n
L’installation et l’ex\u00e9cution de 2MS sont extr\u00eamement simples et rapides. Int\u00e9gr\u00e9 \u00e0 Go, tout ce dont vous avez besoin est de cloner le r\u00e9f\u00e9rentiel, de cr\u00e9er le projet et d’ex\u00e9cuter le binaire sur votre plate-forme. Vous trouverez ci-dessous la liste des commandes que j’ai utilis\u00e9es pour d\u00e9marrer et fonctionner sous OSX (en utilisant Bash 5.1.16):<\/p>\n
\n# brew install go<\/p>\n
# clone de git https:\/\/github.com\/Checkmarx\/2ms.git<\/a><\/p>\n# cd 2ms<\/p>\n
# allez construire<\/p>\n
# .\/2ms –confluence https:\/\/.atlassian.net\/wiki –confluence-spaces –confluence-username –confluence-token <\/p>\n<\/blockquote>\n2MS est construit sur un moteur de d\u00e9tection de secrets (actuellement gitleaks<\/a>) et comprend divers plugins pour interagir avec les plates-formes populaires. Cela signifie que n’importe qui dans la communaut\u00e9 open source peut contribuer, am\u00e9liorer et \u00e9tendre 2MS assez facilement.<\/p>\nApprendre encore plus<\/strong><\/h2>\nNous croyons qu’en travaillant ensemble, nous pouvons cr\u00e9er un monde num\u00e9rique plus s\u00fbr<\/a>. Pour en savoir plus ou t\u00e9l\u00e9charger vous-m\u00eame le projet, rendez-vous sur https:\/\/github.com\/Checkmarx\/2ms<\/a>disponible sur GitHub.<\/p>\nNote:<\/b> Cet article a \u00e9t\u00e9 r\u00e9dig\u00e9 de mani\u00e8re experte et contribu\u00e9 par Bryant Schuck, chef de produit chez Checkmarx.<\/i><\/p>\n
<\/p>\n
Les secrets sont un \u00e9l\u00e9ment essentiel de la s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement logicielle, qui englobe la collaboration jusqu’au d\u00e9ploiement, et tout ce qui se trouve entre les deux. <\/p>\n
Un secret, comme une cl\u00e9 d’acc\u00e8s ou un mot de passe, est souvent la seule chose qui se dresse entre un attaquant et des donn\u00e9es ou des syst\u00e8mes sensibles. Par cons\u00e9quent, il est essentiel de garder ces secrets confidentiels et s\u00e9curis\u00e9s. Lorsque des secrets sont compromis, cela peut entra\u00eener une violation de donn\u00e9es d\u00e9vastatrice, qui peut causer d’importants dommages financiers et \u00e0 la r\u00e9putation d’une organisation. <\/p>\n
Les secrets sont une cible fr\u00e9quente des attaques de la cha\u00eene d’approvisionnement logicielle. Les attaquants ciblent souvent des secrets pour acc\u00e9der aux syst\u00e8mes, aux donn\u00e9es ou aux serveurs de l’entreprise. Ils peuvent facilement obtenir ces secrets s’ils ont \u00e9t\u00e9 divulgu\u00e9s par erreur \u00e0 une source publique. La protection des secrets dans la s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement logicielle est essentielle pour s’assurer que les attaquants ne peuvent pas les exploiter pour compromettre les syst\u00e8mes et les donn\u00e9es de l’entreprise. Une bonne gestion des secrets peut aider \u00e0 emp\u00eacher l’acc\u00e8s non autoris\u00e9 aux syst\u00e8mes et donn\u00e9es critiques, prot\u00e9geant ainsi les organisations des attaques de la cha\u00eene d’approvisionnement.<\/p>\n
Comment gardez-vous les secrets secrets\u00a0?<\/strong><\/h2>\nPour vous prot\u00e9ger contre les fuites de secrets, vous pouvez utiliser les pratiques suivantes\u00a0:<\/p>\n
\n- Utilisez des variables d’environnement pour stocker les secrets\u00a0: au lieu de coder en dur les secrets dans votre code, stockez-les dans des variables d’environnement. Cela facilite la gestion des secrets et garantit qu’ils ne sont pas accidentellement engag\u00e9s dans un r\u00e9f\u00e9rentiel de code.<\/li>\n
- Utilisez un fichier .gitignore\u00a0: cr\u00e9ez un fichier .gitignore pour exclure les fichiers contenant des secrets du suivi par Git. Cela emp\u00eachera que des informations sensibles soient accidentellement valid\u00e9es dans un r\u00e9f\u00e9rentiel de code. Si vous suivez le point 1 ci-dessus, assurez-vous que si les secrets sont stock\u00e9s dans un fichier de variable d’environnement, ce fichier est sp\u00e9cifi\u00e9 dans .gitignore.<\/li>\n
- Utilisez un outil de gestion des secrets\u00a0: un outil de gestion des secrets peut aider \u00e0 stocker et \u00e0 g\u00e9rer en toute s\u00e9curit\u00e9 les secrets des applications ou du syst\u00e8me. Cela garantit que les secrets sont chiffr\u00e9s et accessibles uniquement aux utilisateurs autoris\u00e9s.<\/li>\n
- Utilisez le chiffrement\u00a0: chiffrez les secrets avant de les stocker dans des r\u00e9f\u00e9rentiels de code. Cela fournit une couche de s\u00e9curit\u00e9 suppl\u00e9mentaire et rend plus difficile pour les attaquants d’acc\u00e9der aux informations sensibles.<\/li>\n
- Utiliser l’authentification \u00e0 deux facteurs (2FA)\u00a0: activez 2FA pour les r\u00e9f\u00e9rentiels de code afin d’emp\u00eacher tout acc\u00e8s non autoris\u00e9. Cela ajoute une couche de s\u00e9curit\u00e9 suppl\u00e9mentaire et rend plus difficile pour les attaquants d’obtenir un acc\u00e8s non autoris\u00e9 \u00e0 un r\u00e9f\u00e9rentiel de code.<\/li>\n<\/ol>\n
En suivant ces meilleures pratiques, vous pouvez vous prot\u00e9ger contre l’exposition accidentelle d’informations sensibles dans nos r\u00e9f\u00e9rentiels de code et nos gestionnaires de contr\u00f4le des sources. Mais qu’en est-il des autres syst\u00e8mes, tels que les syst\u00e8mes de gestion de contenu, les documents en texte brut, les e-mails, les journaux de discussion et d’autres actifs num\u00e9riques\u00a0? pas <\/em>stock\u00e9 dans un r\u00e9f\u00e9rentiel\u00a0?<\/p>\nPr\u00e9sentation de Too Many Secrets par Checkmarx<\/strong><\/h2>\nToo Many Secrets (2MS) est un projet open source d\u00e9di\u00e9 \u00e0 aider les gens \u00e0 prot\u00e9ger leurs informations sensibles telles que les mots de passe, les informations d’identification et les cl\u00e9s API contre leur apparition sur les sites Web publics et les services de communication. 2MS prend en charge Confluence aujourd’hui et nous ajouterons bient\u00f4t la prise en charge de Discord. De plus, il est \u00e9galement facilement extensible \u00e0 d’autres plateformes de communication ou de collaboration.<\/p>\n
L’installation et l’ex\u00e9cution de 2MS sont extr\u00eamement simples et rapides. Int\u00e9gr\u00e9 \u00e0 Go, tout ce dont vous avez besoin est de cloner le r\u00e9f\u00e9rentiel, de cr\u00e9er le projet et d’ex\u00e9cuter le binaire sur votre plate-forme. Vous trouverez ci-dessous la liste des commandes que j’ai utilis\u00e9es pour d\u00e9marrer et fonctionner sous OSX (en utilisant Bash 5.1.16):<\/p>\n
\n# brew install go<\/p>\n
# clone de git https:\/\/github.com\/Checkmarx\/2ms.git<\/a><\/p>\n# cd 2ms<\/p>\n
# allez construire<\/p>\n
# .\/2ms –confluence https:\/\/.atlassian.net\/wiki –confluence-spaces –confluence-username –confluence-token <\/p>\n<\/blockquote>\n2MS est construit sur un moteur de d\u00e9tection de secrets (actuellement gitleaks<\/a>) et comprend divers plugins pour interagir avec les plates-formes populaires. Cela signifie que n’importe qui dans la communaut\u00e9 open source peut contribuer, am\u00e9liorer et \u00e9tendre 2MS assez facilement.<\/p>\nApprendre encore plus<\/strong><\/h2>\nNous croyons qu’en travaillant ensemble, nous pouvons cr\u00e9er un monde num\u00e9rique plus s\u00fbr<\/a>. Pour en savoir plus ou t\u00e9l\u00e9charger vous-m\u00eame le projet, rendez-vous sur https:\/\/github.com\/Checkmarx\/2ms<\/a>disponible sur GitHub.<\/p>\nNote:<\/b> Cet article a \u00e9t\u00e9 r\u00e9dig\u00e9 de mani\u00e8re experte et contribu\u00e9 par Bryant Schuck, chef de produit chez Checkmarx.<\/i><\/p>\n
<\/p>\n
En suivant ces meilleures pratiques, vous pouvez vous prot\u00e9ger contre l’exposition accidentelle d’informations sensibles dans nos r\u00e9f\u00e9rentiels de code et nos gestionnaires de contr\u00f4le des sources. Mais qu’en est-il des autres syst\u00e8mes, tels que les syst\u00e8mes de gestion de contenu, les documents en texte brut, les e-mails, les journaux de discussion et d’autres actifs num\u00e9riques\u00a0? pas <\/em>stock\u00e9 dans un r\u00e9f\u00e9rentiel\u00a0?<\/p>\n Too Many Secrets (2MS) est un projet open source d\u00e9di\u00e9 \u00e0 aider les gens \u00e0 prot\u00e9ger leurs informations sensibles telles que les mots de passe, les informations d’identification et les cl\u00e9s API contre leur apparition sur les sites Web publics et les services de communication. 2MS prend en charge Confluence aujourd’hui et nous ajouterons bient\u00f4t la prise en charge de Discord. De plus, il est \u00e9galement facilement extensible \u00e0 d’autres plateformes de communication ou de collaboration.<\/p>\n L’installation et l’ex\u00e9cution de 2MS sont extr\u00eamement simples et rapides. Int\u00e9gr\u00e9 \u00e0 Go, tout ce dont vous avez besoin est de cloner le r\u00e9f\u00e9rentiel, de cr\u00e9er le projet et d’ex\u00e9cuter le binaire sur votre plate-forme. Vous trouverez ci-dessous la liste des commandes que j’ai utilis\u00e9es pour d\u00e9marrer et fonctionner sous OSX (en utilisant Bash 5.1.16):<\/p>\n # brew install go<\/p>\n # clone de git https:\/\/github.com\/Checkmarx\/2ms.git<\/a><\/p>\n # cd 2ms<\/p>\n # allez construire<\/p>\n # .\/2ms –confluence https:\/\/ 2MS est construit sur un moteur de d\u00e9tection de secrets (actuellement gitleaks<\/a>) et comprend divers plugins pour interagir avec les plates-formes populaires. Cela signifie que n’importe qui dans la communaut\u00e9 open source peut contribuer, am\u00e9liorer et \u00e9tendre 2MS assez facilement.<\/p>\n Nous croyons qu’en travaillant ensemble, nous pouvons cr\u00e9er un monde num\u00e9rique plus s\u00fbr<\/a>. Pour en savoir plus ou t\u00e9l\u00e9charger vous-m\u00eame le projet, rendez-vous sur https:\/\/github.com\/Checkmarx\/2ms<\/a>disponible sur GitHub.<\/p>\n Note:<\/b> Cet article a \u00e9t\u00e9 r\u00e9dig\u00e9 de mani\u00e8re experte et contribu\u00e9 par Bryant Schuck, chef de produit chez Checkmarx.<\/i><\/p>\n <\/p>\nPr\u00e9sentation de Too Many Secrets par Checkmarx<\/strong><\/h2>\n
\n
Apprendre encore plus<\/strong><\/h2>\n