Gestion sécurisée des dépendances

Les applications modernes importent des centaines de paquets tiers. Chaque dépendance — ainsi que ses dépendances transitives — élargit votre surface d'attaque. Une vulnérabilité dans une bibliothèque populaire (comme Log4Shell dans Log4j) peut exposer des milliers d'applications simultanément.

Les fichiers de verrouillage (package-lock.json, yarn.lock, Pipfile.lock) figent chaque dépendance sur une version exacte, y compris les dépendances transitives. Validez les fichiers de verrouillage dans le système de contrôle de version. Cela garantit des compilations reproductibles et empêche les mises à niveau accidentelles qui introduiraient des vulnérabilités.

Les outils SCA analysent les arbres de dépendances par rapport aux bases de données de CVE afin d'identifier les paquets vulnérables. OWASP Dependency-Check, Snyk et GitHub Dependabot détectent automatiquement les vulnérabilités connues et suggèrent des versions corrigées accompagnées d'indications de remédiation.

Dependabot et Renovate Bot ouvrent automatiquement des demandes de fusion lorsque de nouvelles versions sans rupture de compatibilité sont disponibles. Ils donnent la priorité aux mises à jour de sécurité. Configurez la fusion automatique des mises à jour de correctifs lorsque l'intégration continue réussit afin de maintenir les dépendances à jour avec un minimum d'effort manuel.

Avant d'ajouter une dépendance, vérifiez le nombre de téléchargements, l'activité récente de validation, le nombre de problèmes ouverts, la compatibilité de la licence et l'historique des CVE connues. Préférez les paquets bien maintenus, dotés de processus actifs de réponse aux problèmes de sécurité, aux solutions de remplacement qui ne sont plus maintenues.

Vos dépendances directes intègrent leurs propres dépendances. Lors de l'incident event-stream, des attaquants ont pris le contrôle d'une dépendance transitive utilisée par des millions de paquets. Auditez l'arbre complet des dépendances, et pas seulement les dépendances directes.

Les attaques par confusion de dépendances consistent à publier des paquets malveillants dans des registres publics en leur donnant le même nom que des paquets internes. Réduisez ce risque en utilisant des noms de paquets avec portée, l'authentification auprès des registres privés et une liste d'autorisation des registres approuvés dans .npmrc ou pip.conf.

Une nomenclature logicielle (Software Bill of Materials, SBOM) est un inventaire lisible par machine de tous les composants de votre logiciel. Générez des SBOM avec Syft ou CycloneDX. Les SBOM permettent d'évaluer rapidement l'impact d'une vulnérabilité lorsque de nouveaux CVE sont publiés : identifiez les versions concernées en quelques minutes.

Les licences OSS imposent des obligations. GPL peut exiger la divulgation du code source. MIT et Apache 2.0 sont permissives. FOSSA et TLDR-Legal aident à évaluer la compatibilité des licences. Intégrez l'analyse des licences à l'intégration continue afin d'empêcher toute incorporation involontaire de code GPL dans des produits commerciaux.

Subresource Integrity (SRI) pour les scripts hébergés sur un CDN utilise un hachage cryptographique dans l'attribut integrity. npm package.json contient un champ integrity. Vérifiez les sommes de contrôle lors du téléchargement des paquets dans l'intégration continue afin de détecter toute altération de la chaîne d'approvisionnement.

Appliquez les correctifs de sécurité dans les 24 à 48 heures suivant la publication d'un CVE pour les vulnérabilités critiques. Utilisez les scores CVSS et les données d'exploitabilité pour établir les priorités. Une dépendance corrigée qui introduit une modification incompatible vaut mieux qu'une vulnérabilité exploitable en production.

Qu'est-ce qu'une attaque par confusion de dépendances ?

Une gestion sécurisée des dépendances nécessite de figer les versions dans des fichiers de verrouillage, d'exécuter une analyse SCA dans l'intégration et le déploiement continus, d'automatiser les mises à jour correctives, de générer des SBOM pour évaluer l'impact et d'évaluer le niveau de sécurité des nouvelles dépendances avant leur adoption.