Résumé vidéo q-lxDpMSTRs

Sécurité des Chaînes d'Approvisionnement Logiciel

Introduction à la sécurité des chaînes d'approvisionnement logiciel

Alors aujourd'hui, nous allons parler de méthodes pour adresser les problématiques de sécurité des chaînes d'approvisionnement avec Christophe Tafani de Reaper.

• L'épisode débute par une introduction au podcast No Limite SQ, qui se concentre sur la cybersécurité. Les contributeurs incluent Nicolas Ruf, Paul Amar, Hervé Chaur, et Vladimir Cola, avec Christophe Tafani en tant qu'invité principal.
• Christophe Tafani travaille chez Datadog sur la sécurité du cloud et des logiciels open source. Il a une expérience variée, ayant travaillé dans des équipes de sécurité cloud et des opérations de développement.
• Le sujet principal est la sécurité des chaînes d'approvisionnement logiciel, en se concentrant sur les logiciels plutôt que sur les aspects physiques ou humains.
• La discussion se concentre sur les attaques potentielles à chaque étape du développement logiciel, depuis l'écriture du code jusqu'à sa distribution finale.
• Un modèle mental utile pour comprendre ces chaînes est celui utilisé par Salsa, qui décrit comment le code passe du développeur au consommateur final.

Modèles et exemples d'attaques sur les chaînes d'approvisionnement

Il y a un cas qui est assez connu, c'est le cas en 2003 d'un acteur a priori inconnu qui a essayé de publier un patch dans le noyau Linux qui contenait un bug intentionnel.

• Christophe explique l'importance de comprendre le modèle de la chaîne d'approvisionnement logiciel, citant Salsa comme un exemple.
• Il mentionne plusieurs attaques historiques, y compris une tentative en 2003 d'introduire un bug intentionnel dans le noyau Linux.
• Les attaques peuvent cibler différentes étapes, comme la source du code, la chaîne de build, et la distribution.
• L'exemple de SolarWinds est discuté, où des attaquants ont compromis le système de build pour insérer du code malveillant.
• Une autre attaque notable est celle de Codecov, où un script Bash malveillant a été inséré, montrant l'importance de vérifier non seulement le code source mais aussi les scripts de construction.

Stratégies de protection et détection des attaques

Donc si on regarde comment est-ce qu'on s'assure qu'un développeur tout seul ne peut pas mettre du code malveillant en production, finalement c'est très classique.

• Christophe discute des mesures de protection pour empêcher les développeurs de pousser du code malveillant, comme l'utilisation de pull requests et la signature des commits.
• Il souligne la complexité de sécuriser la chaîne de build, citant des exemples récents de compromissions dans les distributions Linux.
• Les actions GitHub compromises en mars 2025 sont un exemple de la manière dont des attaquants peuvent exploiter des pipelines CI pour divulguer des secrets.
• La discussion inclut des stratégies de détection, comme l'utilisation de projets open source pour surveiller les pipelines CI et s'assurer qu'ils ne réalisent pas d'actions inhabituelles.
• Christophe mentionne l'importance de la transparence et de la vérification cryptographique pour garantir l'intégrité des artefacts logiciels.

Détection proactive et outils de sécurité

Il y a un projet open source qui s'appelle Gard Dog, guard, chien de garde en français qui va en fait faire deux choses.

• Christophe présente Guard Dog, un projet open source qui analyse les métadonnées des paquets et utilise des règles Semgrep pour détecter les anomalies.
• Il explique que l'outil est conçu pour identifier les paquets malveillants en analysant des caractéristiques inhabituelles, comme l'absence de description ou des numéros de version suspects.
• La discussion aborde l'importance de lancer ces outils dans les pipelines CI pour détecter les dépendances suspectes avant le déploiement.
• Christophe souligne que la détection proactive est cruciale pour éviter que des paquets malveillants soient intégrés dans les projets.
• Il mentionne également l'importance de la collaboration et de la contribution à des projets open source pour améliorer la sécurité collective.

Gestion des dépendances et sécurité des paquets

Alors, il y a des projets qui existent pour ça, notamment la fondation pour la sécurité de la chaîne d'approvisionnement.

• Christophe discute des projets visant à analyser les flux RSS des paquets pour détecter les mises à jour suspectes.
• Il explique que la gestion des dépendances est un défi, notamment en raison du volume élevé de mises à jour sur des plateformes comme npm.
• La discussion inclut des stratégies pour réduire les risques, comme l'utilisation de miroirs pour contrôler les dépendances et éviter les téléchargements directs depuis Internet.
• Christophe aborde l'importance de l'analyse des dépendances indirectes, qui peuvent souvent contenir des vulnérabilités non détectées.
• Il mentionne des outils comme OSV Scanner pour vérifier les vulnérabilités connues dans les dépendances open source.

Attestations et transparence dans les chaînes de build

Salsa fait un usage assez extensif de ce qu'ils appellent les attestations et donc le concept de provenance.

• Christophe explique le concept d'attestations et de provenance, qui permet de vérifier comment un artefact logiciel a été construit.
• Il souligne l'importance de la transparence dans les chaînes de build pour détecter les modifications non autorisées.
• Les attestations signées cryptographiquement fournissent une preuve de l'intégrité du processus de build, même si le système de build est compromis.
• Christophe mentionne des frameworks comme Intoto qui aident à décrire et sécuriser les chaînes d'approvisionnement logiciel.
• La discussion inclut l'importance de standards et de technologies collaboratives pour renforcer la sécurité des chaînes d'approvisionnement.

Conclusion et perspectives sur la sécurité des chaînes d'approvisionnement

Le mot de la fin c'est que la sécurité de la chaîne d'approvisionnement c'est un monde assez grand.

• Christophe conclut en soulignant l'importance d'un modèle de référence comme Salsa pour guider les pratiques de sécurité.
• Il insiste sur la nécessité d'une maturité équilibrée à travers les différentes étapes de la chaîne d'approvisionnement.
• La discussion aborde les opportunités de contribution à des projets open source pour améliorer la sécurité collective.
• Christophe mentionne des opportunités professionnelles dans son équipe pour ceux intéressés par la recherche et le développement en sécurité.
• L'épisode se termine par une invitation aux auditeurs à s'impliquer et à rester informés des évolutions en matière de sécurité des chaînes d'approvisionnement.