{"id":100532,"date":"2021-06-17T22:23:06","date_gmt":"2021-06-17T20:23:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predlozhil-slsa-dlya-zashhity-ot-vredonosnyh-izmenenij-v-proczesse-razrabotki"},"modified":"2021-06-17T22:23:06","modified_gmt":"2021-06-17T20:23:08","slug":"google-predlozhil-slsa-dlya-zashhity-ot-vredonosnyh-izmenenij-v-proczesse-razrabotki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/google-predlozhil-slsa-dlya-zashhity-ot-vredonosnyh-izmenenij-v-proczesse-razrabotki","title":{"rendered":"Google a propos\u00e9 SLSA pour se prot\u00e9ger contre les modifications malveillantes durant le d\u00e9veloppement","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La soci\u00e9t\u00e9 Google a pr\u00e9sent\u00e9 le cadre SLSA (Supply-chain Levels for Software Artifacts), qui synth\u00e9tise l'exp\u00e9rience acquise en mati\u00e8re de protection de l'infrastructure de d\u00e9veloppement contre les attaques survenant lors de l'\u00e9criture du code, des tests, de la construction et de la distribution du produit. <\/p>\n
Les processus de d\u00e9veloppement deviennent de plus en plus complexes et d\u00e9pendants d'outils tiers, ce qui cr\u00e9e des conditions favorables \u00e0 la promotion d'attaques li\u00e9es non pas \u00e0 l'identification et \u00e0 l'exploitation de vuln\u00e9rabilit\u00e9s dans le produit final, mais \u00e0 la compromission m\u00eame du processus de d\u00e9veloppement (les attaques \u00ab supply chain \u00bb, g\u00e9n\u00e9ralement cibl\u00e9es sur l'injection de modifications malveillantes dans le processus d'\u00e9criture du code, le remplacement des composants et des d\u00e9pendances distribu\u00e9s). <\/p>\n
Le cadre prend en compte 8 types d'attaques li\u00e9es aux menaces d'introduction de modifications malveillantes au stade du d\u00e9veloppement du code, de la construction, des tests et de la distribution du produit.
<\/center> <\/p>\n
\n
A. Inclusion dans le code source de modifications contenant des portes d\u00e9rob\u00e9es ou des erreurs cach\u00e9es entra\u00eenant des vuln\u00e9rabilit\u00e9s.\n
Exemple d'attaque : \u00ab Hypocrite Commits \u00bb \u2014 tentative d'introduction dans le noyau Linux de correctifs contenant des vuln\u00e9rabilit\u00e9s. <\/p>\n
M\u00e9thode de protection propos\u00e9e : examen ind\u00e9pendant de chaque modification par deux d\u00e9veloppeurs. <\/p>\n
B.\tCompromission de la plateforme de gestion du code source.\n
Exemple d'attaque : introduction de commits malveillants avec une porte d\u00e9rob\u00e9e dans le d\u00e9p\u00f4t Git du projet PHP apr\u00e8s une fuite de mots de passe des d\u00e9veloppeurs. <\/p>\n
M\u00e9thode de protection propos\u00e9e : renforcement de la s\u00e9curit\u00e9 de la plateforme de gestion du code (dans le cas de PHP, l'attaque a \u00e9t\u00e9 r\u00e9alis\u00e9e via une interface HTTPS peu utilis\u00e9e, permettant d'envoyer des modifications lors de l'authentification par mot de passe sans v\u00e9rifier la cl\u00e9 SSH, alors qu'un hachage MD5 peu fiable \u00e9tait utilis\u00e9 pour les mots de passe). <\/p>\n
C. Introduction de modifications lors du transfert de code au syst\u00e8me de construction ou d'int\u00e9gration continue (le code construit ne correspond pas au code du d\u00e9p\u00f4t).\n
Exemple d'attaque : introduction d'une porte d\u00e9rob\u00e9e dans Webmin par des modifications apport\u00e9es \u00e0 l'infrastructure de construction, entra\u00eenant l'utilisation de fichiers avec un code diff\u00e9rent de celui des fichiers du d\u00e9p\u00f4t. <\/p>\n
M\u00e9thode de protection propos\u00e9e : v\u00e9rification de l'int\u00e9grit\u00e9 et identification de la source du code entrant dans le syst\u00e8me de construction. le serveur<\/a>. <\/p>\n
![\"Google](\"\/wp-content\/uploads\/2021\/06\/d99f0d7ebc6009bcecf21f65f77dcf65.png\")
<\/center> <\/p>\n![\"Google](\"\/wp-content\/uploads\/2021\/06\/3f0bdd24afeec562582d8410b490e705.png\")
<\/center>