Blog

L'un des risques de la chaîne d'approvisionnement en logiciels est la fuite de secrets. Les secrets sont omniprésents dans la chaîne d'approvisionnement des logiciels ; les développeurs et les pipelines CI\CD doivent utiliser des secrets pour accéder au SCM, au pipeline, aux registres d'artefacts, aux environnements cloud et aux services externes. Et quand les secrets sont partout, ce n’est qu’une question de temps […]

Début août, l'Institut national américain des normes et technologies (NIST) a publié une version préliminaire 2.0 de son cadre de cybersécurité historique, publié pour la première fois en 2014. De nombreux changements ont eu lieu au cours des dix dernières années, notamment le niveau croissant de menaces de cybersécurité que le document original présentait pour aider les pays critiques […]

Nous avons tous beaucoup entendu parler des SBOM récemment. Nous avons entendu parler de leur utilité, de leur composition et de leurs exigences en matière de sécurité et de réglementation. Cette fois, je veux prendre le temps de parler d'un segment un peu moins connu du SBOM CyclonDX : le Dependency Graph. Contrairement à son nom, le Dependency Graph n'est pas un […]

Beaucoup de mots ont été écrits ces dernières années sur le SBOM – Software Bill Of Materials. Avec toute cette exposition, les gens ont le sentiment de savoir assez bien ce qu'il faut expliquer : il s'agit d'une liste d'ingrédients logiciels, c'est important pour la transparence et la sécurité, et cela permet d'exposer les dépendances transitoires. Tous […]

Valint est le principal outil Scribe pour créer, gérer, signer et vérifier des preuves. Dans un article précédent, nous avons abordé la théorie de l'utilisation des preuves de signature et de vérification comme outil principal pour valider la sécurité de votre pipeline CI/CD. Pour rappel, le modèle proposé par Scribe comprend plusieurs éléments de base qui peuvent être mélangés et […]

En septembre 2022, l'Office of Management and Budget (OMB) des États-Unis a publié une note historique concernant les étapes nécessaires pour sécuriser votre chaîne d'approvisionnement en logiciels à un degré acceptable par le gouvernement fédéral américain. Toute entreprise souhaitant faire affaire avec le gouvernement et toute agence fédérale produisant des logiciels doit se conformer à […]

Les analyses CVE (Common Vulnerabilities and Exposures) sont essentielles à la sécurisation de vos applications logicielles. Cependant, avec la complexité croissante des piles logicielles, identifier et traiter tous les CVE peut s'avérer difficile. L'un des plus gros problèmes des analyses CVE aujourd'hui est la prévalence des faux positifs, où une vulnérabilité est identifiée dans un package qui n'est pas [...]

En mars 2023, la Maison Blanche a publié une nouvelle stratégie nationale de cybersécurité. La stratégie présente une liste de 5 piliers que la Maison Blanche considère comme essentiels pour améliorer la cybersécurité pour tous les Américains, tant dans le secteur public que privé. Le troisième pilier concerne la volonté de façonner les forces du marché pour améliorer la sécurité et la résilience. Une partie de cela […]

En avril 2023, la CISA a publié un nouveau guide conjoint sur la sécurité des logiciels intitulé Shifting the Balance of Cybersecurity Risk : Security-by-Design and Default Principles. Le guide a été rédigé avec la coopération de 9 agences différentes, dont la NSA, l'Australian Cyber ​​Security Center (ACSC) et l'Office fédéral allemand pour la sécurité de l'information (BSI), entre autres. Le fait que […]

Le 20 mars, OpenAI a supprimé le populaire outil d'IA générative ChatGPT pendant quelques heures. Il a admis plus tard que la raison de la panne était une vulnérabilité de la chaîne d'approvisionnement logicielle provenant de la bibliothèque open source de stockage de données en mémoire « Redis ». En raison de cette vulnérabilité, il y avait une fenêtre horaire (entre 1h et 10h) […]