Qu'est-ce que Attaque par la chaîne d'approvisionnement ?

Réponse : B. Placer les paquets à usage interne dans un espace de noms géré par l'organisation, configurer cet espace de noms pour qu'il ne soit récupéré que depuis le dépôt interne, et figer les versions et les valeurs de hachage avec un fichier de verrouillage

La confusion de dépendances est une forme d'attaque par la chaîne d'approvisionnement logicielle. Certains gestionnaires de paquets consultent plusieurs dépôts et, selon leurs paramètres, choisissent le numéro de version le plus élevé quand un même nom existe ; les attaquants en abusent pour faire récupérer un paquet malveillant portant le même nom qu'un paquet interne. La contre-mesure consiste à utiliser pour les paquets internes un espace de noms (scope) géré par l'organisation, à ne lier cet espace de noms qu'au dépôt interne et à indiquer explicitement depuis quel dépôt chaque paquet est récupéré. En outre, figer les versions et les valeurs de hachage des dépendances avec un fichier de verrouillage empêche qu'elles soient remplacées à l'insu de tous par autre chose. Enregistrer le premier l'espace de noms de l'organisation dans le dépôt public aide aussi à empêcher l'usurpation.

Réponse : C. Une signature de code montre seulement qui a signé et si le code a été modifié après la signature ; les développeurs doivent donc protéger l'environnement de build, et les utilisateurs surveiller aussi le comportement des logiciels de confiance

La signature de code confirme qui a signé et que le contenu n'a pas été modifié après la signature ; elle ne peut pas reconnaître du code malveillant inséré avant la signature. Dans l'incident SolarWinds, exemple type d'attaque par la chaîne d'approvisionnement logicielle, du code malveillant a été ajouté pendant le build, si bien qu'il est parvenu à de nombreuses organisations sous forme de mises à jour légitimes et signées. Dans la porte dérobée de xz-utils, découverte en mars 2024, une personne qui avait passé longtemps à gagner la confiance en tant que développeur a elle aussi glissé du code malveillant dans les fichiers distribués. Il est important que les développeurs isolent et protègent l'environnement de build et enregistrent et vérifient la provenance, du code source jusqu'au build, et que les utilisateurs surveillent même les logiciels de confiance pour détecter les communications et comportements suspects avec l'EDR et des outils similaires.