La livraison logicielle moderne repose sur les pipelines d’intégration et de livraison continues (CI/CD) pour construire, tester et déployer du code à grande échelle. Ces pipelines sont devenus la colonne vertébrale du DevOps, permettant aux organisations de livrer des fonctionnalités plus vite et de manière plus fiable que jamais. Mais cette puissance a une contrepartie … Lire la suite
Aperçu Les tags d’images container sont des pointeurs modifiables. Contrairement à un hash de commit Git, le tag v1.0.0 n’est pas lié cryptographiquement à une image spécifique — c’est simplement une étiquette qu’un registre associe à un digest de manifeste. Toute personne disposant d’un accès push à un dépôt peut écraser cette association à tout … Lire la suite
Vue d’ensemble La confusion de dépendances est une attaque de la chaîne d’approvisionnement qui exploite la manière dont les gestionnaires de paquets résolvent les noms de packages lorsque des registres privés (internes) et publics sont configurés simultanément. Lorsqu’un attaquant publie un package malveillant sur un registre public en utilisant le même nom qu’un package privé … Lire la suite
Les pipelines CI/CD sont devenus l’épine dorsale de la livraison logicielle moderne. Mais cette puissance s’accompagne de risques significatifs. Le projet OWASP Top 10 des Risques de Sécurité CI/CD répertorie les vecteurs d’attaque les plus critiques ciblant les systèmes d’intégration continue et de livraison continue. Dans ce guide, nous détaillons chaque risque avec des exemples … Lire la suite
Présentation Le Poisoned Pipeline Execution (PPE) est classé comme le risque n°2 dans le Top 10 de la sécurité CI/CD de l’OWASP. Il s’agit d’une catégorie d’attaques dans laquelle un acteur malveillant manipule le processus de build en injectant du code dans les définitions de pipelines ou les scripts de build, généralement via une pull … Lire la suite
Introduction Comprendre comment les pipelines CI/CD sont attaqués ne représente que la moitié du tableau. La modélisation des menaces et la taxonomie des attaques nous fournissent une carte du champ de bataille, mais sans patterns défensifs concrets et atténuations techniques, ces connaissances restent théoriques. Ce guide comble le fossé entre la sensibilisation et l’action. L’objectif … Lire la suite
Introduction Les attaques contre la chaîne d’approvisionnement logicielle ont connu une augmentation considérable, tant en fréquence qu’en sophistication, au cours des dernières années. Plutôt que d’attaquer directement les applications, les adversaires ciblent de plus en plus les couches de résolution de dépendances et de distribution d’artefacts qui sous-tendent le développement logiciel moderne. Deux des techniques … Lire la suite
Vue d’ensemble Les GitHub Actions tierces sont l’une des fonctionnalités les plus pratiques de l’écosystème GitHub. Avec une simple directive uses:, vous pouvez intégrer une logique de build complexe, déployer sur des fournisseurs cloud ou exécuter des scanners de sécurité. Mais cette commodité implique un compromis critique : chaque action tierce exécute du code dans … Lire la suite
Le threat modeling est une pratique bien établie en sécurité applicative. Les équipes modélisent régulièrement les menaces pesant sur les API, les services backend et les environnements de production. Cependant, les pipelines CI/CD sont souvent exclus des exercices formels de threat modeling, alors qu’ils constituent l’un des composants les plus critiques des systèmes logiciels modernes. … Lire la suite
Pendant des années, les programmes de sécurité applicative se sont concentrés sur les environnements de production : durcissement des serveurs, correction des vulnérabilités, déploiement de WAFs et surveillance du comportement en temps réel. Cette approche était logique lorsque la plupart des compromissions significatives se produisaient après le déploiement, en exploitant les faiblesses des applications en … Lire la suite
