{"id":64948,"date":"2021-10-29T08:24:28","date_gmt":"2021-10-29T07:24:28","guid":{"rendered":"https:\/\/www.artefact.com\/?post_type=news&p=64948"},"modified":"2024-09-20T17:45:46","modified_gmt":"2024-09-20T16:45:46","slug":"how-to-secure-your-python-software-supply-chain","status":"publish","type":"blog","link":"https:\/\/www.artefact.com\/fr\/blog\/how-to-secure-your-python-software-supply-chain\/","title":{"rendered":"Comment s\u00e9curiser votre cha\u00eene d'approvisionnement en logiciels Python ?"},"content":{"rendered":"

Auteur<\/h2><\/div>\"Image\"

Beno\u00eet Goujon<\/h3><\/div>

Data ing\u00e9nieur \u00e0 Artefact<\/p>\n<\/div><\/div><\/div><\/div><\/div>

<\/span><\/a><\/span>

Lisez notre article sur<\/u><\/p>\n<\/div>

<\/span><\/div>

.<\/p>\n<\/div><\/div><\/div><\/div><\/div>

Un guide pour prendre conscience des risques auxquels vous \u00eates expos\u00e9s et quelques conseils pour vous en pr\u00e9munir.
\n Un nouveau type de cybermenace est apparu r\u00e9cemment : les attaques de la cha\u00eene d'approvisionnement en logiciels. Bien que rares, elles ont un impact consid\u00e9rable et la protection contre ces attaques est une pr\u00e9occupation croissante. En raison de la diversit\u00e9 des cas d'utilisation, il n'y a pas de r\u00e8gle unique \u00e0 appliquer \u00e0 vos projets Python pour \u00eatre en s\u00e9curit\u00e9 et, comme toujours, cela d\u00e9pend de votre contexte.<\/p>\n<\/div><\/div><\/div><\/div><\/div>

Introduction<\/h2><\/div>

Dans les industries traditionnelles, une cha\u00eene d'approvisionnement est tout ce qui permet \u00e0 une entreprise de livrer un produit au client. Par exemple, lorsque vous achetez un croissant \u00e0 la boulangerie, tous les ingr\u00e9dients, l'emballage et le transport font partie de la cha\u00eene d'approvisionnement.<\/p>\n<\/div>

Dans le domaine du logiciel, une cha\u00eene d'approvisionnement est tout ce qui affecte votre logiciel avant son d\u00e9ploiement en production. Elle couvre tout, de la phase de d\u00e9veloppement au processus de mise en production, y compris le code que vous avez \u00e9crit, vos d\u00e9pendances, votre environnement de construction, votre IDE, votre registre d'images - chaque composant avec lequel votre logiciel interagit \u00e0 un moment ou \u00e0 un autre !<\/p>\n<\/div>

<\/span><\/div>

Le terme \u201ccha\u00eene d'approvisionnement\u201d a r\u00e9cemment \u00e9t\u00e9 mis en lumi\u00e8re par des cyberattaques qui ont eu un impact consid\u00e9rable. Parmi toutes les attaques, Solarwinds est peut-\u00eatre la plus c\u00e9l\u00e8bre. En effet, le gouvernement am\u00e9ricain, de grandes entreprises technologiques comme Microsoft et Intel, mais aussi des h\u00f4pitaux, des compagnies d'\u00e9lectricit\u00e9 et des institutions financi\u00e8res ont \u00e9t\u00e9 touch\u00e9s.<\/p>\n

Ironiquement, la cause premi\u00e8re est l'infection de Solarwinds Orion, un moniteur de s\u00e9curit\u00e9 r\u00e9seau. Le syst\u00e8me de construction a \u00e9t\u00e9 compromis et toutes les nouvelles versions entre mars et juin 2020 ont \u00e9t\u00e9 infect\u00e9es par des logiciels malveillants. Par cons\u00e9quent, tous les clients qui ont mis \u00e0 jour leur logiciel au cours de cette p\u00e9riode ont \u00e9t\u00e9 compromis.<\/p>\n<\/div>

M\u00eame si l'attaque de Solarwinds a \u00e9t\u00e9 largement couverte par les m\u00e9dias, il existe des dizaines d'attaques similaires dont nous n'avons jamais entendu parler. Heureusement, la Cloud Native Computing Foundation les recense toutes dans une base de donn\u00e9es.\u00a0d\u00e9p\u00f4t public<\/a>. Vous serez peut-\u00eatre surpris par l'acc\u00e9l\u00e9ration de ces attaques au cours des derni\u00e8res ann\u00e9es.<\/p>\n

Il n'est pas possible de couvrir tous les aspects li\u00e9s \u00e0 la s\u00e9curit\u00e9 de la cha\u00eene d'approvisionnement dans un seul article de blog. C'est pourquoi nous nous concentrerons dans cet article sur les projets qui utilisent Python comme langage principal.<\/p>\n<\/div>

Comment g\u00e9rer vos d\u00e9pendances en Python ?<\/h3><\/div>

M\u00eame si Python a une philosophie \u201cbatteries incluses\u201d, vous avez souvent besoin de biblioth\u00e8ques externes que vous pouvez t\u00e9l\u00e9charger \u00e0 partir de PyPI, l'index officiel des paquets, et c'est \u00e0 ce stade que vous devez \u00eatre tr\u00e8s prudent.<\/p>\n

L'\u00e9cosyst\u00e8me Python a d\u00e9j\u00e0 \u00e9t\u00e9 cibl\u00e9, notamment par l'utilisation de deux techniques :<\/p>\n<\/div>