Les registres d'artefacts, c'est-à-dire les dépôts où sont stockés et distribués les paquets logiciels compilés, les images de conteneurs et les artefacts de déploiement, constituent un point de contrôle critique de la chaîne d'approvisionnement logicielle. Ils font le lien entre le pipeline de compilation qui produit le logiciel et l'infrastructure de déploiement qui l'exécute. La sécurité de ce lien détermine si un artefact signé et validé qui quitte le pipeline de compilation arrive intact dans l'environnement de déploiement. Un registre d'artefacts qui permet d'écraser des artefacts après leur publication, sans modifier l'identifiant de version, crée un risque pour la chaîne d'approvisionnement que la signature du code ne peut à elle seule atténuer : un attaquant qui compromet un compte du registre peut remplacer discrètement un artefact légitime par un artefact malveillant, tandis que l'étiquette de version et l'URL de téléchargement restent inchangées.
L'absence d'immuabilité touche la propriété de sécurité fondamentale qui distingue les registres d'artefacts sécurisés de ceux qui ne le sont pas. Un registre d'artefacts immuable ne permet pas d'écraser une version d'artefact publiée : une fois publiée, une version est définitive. Si un autre artefact doit être distribué, il doit recevoir une nouvelle étiquette de version. Cette propriété est essentielle à la sécurité de la chaîne d'approvisionnement, car elle garantit qu'un utilisateur qui télécharge aujourd'hui la version 2.3.1 d'un paquet reçoit le même artefact qu'un utilisateur qui a téléchargé la version 2.3.1 hier, quels que soient les changements apportés aux autorisations d'accès du registre ou les compromissions de comptes du registre survenues depuis la publication initiale.
Le problème du contrôle d'accès constitue la vulnérabilité opérationnelle. Les registres d'artefacts accumulent au fil du temps des comptes disposant d'un accès en écriture : comptes de développeurs, comptes de service CI/CD, comptes d'automatisation du déploiement et comptes créés pour des projets précis qui n'ont jamais été désactivés à la fin de ces projets. Chaque compte disposant d'un accès en écriture à un espace de noms de production est un vecteur potentiel de compromission du registre. Les comptes d'anciens employés sont les plus immédiatement exploitables : l'employé n'a plus de raison professionnelle légitime d'y accéder, le compte n'est peut-être pas surveillé, et l'entreprise ignore peut-être même l'existence du compte si la gestion des accès au registre n'est pas intégrée à la gestion du cycle de vie des identités.
Pourquoi c’est important
La sécurité des registres d'artefacts est importante pour la TPRM, car les artefacts logiciels que votre entreprise reçoit de ses fournisseurs sont distribués par des registres dont la posture de sécurité détermine si l'artefact que vous téléchargez est bien celui que le fournisseur a publié. Un fournisseur dont le registre est modifiable, dont les contrôles d'accès sont mal tenus ou dont l'espace de noms peut être modifié par des comptes compromis ou d'anciens employés est un fournisseur dont les artefacts peuvent être remplacés sans que personne ne s'en aperçoive.
- Immuabilité du registre non évaluée en même temps que la signature des artefacts
- Hygiène du contrôle d'accès au registre : comptes d'anciens employés, accès en écriture excessifs
- Isolement des espaces de noms : gestion des accès à l'espace de noms de production
- Journalisation d'audit au niveau du registre : qui a téléchargé et téléversé quoi, et quand
- Vérification de l'intégrité des artefacts au-delà de la signature : épinglage par empreinte
À quoi ressemblent les bonnes pratiques
Les programmes matures de sécurité des registres d'artefacts mettent en œuvre l'immuabilité des artefacts de production publiés, appliquent un contrôle d'accès selon le principe du moindre privilège avec gestion du cycle de vie de tous les comptes du registre, activent une journalisation d'audit complète des opérations du registre et complètent la vérification de la signature des artefacts par un épinglage par empreinte qui détecte tout remplacement au niveau du registre.
- Publication d'artefacts immuables : aucun écrasement après publication
- Gestion du cycle de vie des accès au registre, intégrée aux processus de départ
- Revue des accès à l'espace de noms de production, au minimum chaque trimestre
- Journalisation d'audit complète : toutes les opérations du registre sont journalisées
- Épinglage par empreinte en complément de la vérification des signatures : détecte tout remplacement au niveau du registre
Outils
Sécurité des registres : JFrog Artifactory avec politiques d'immuabilité ; GitHub Packages, AWS ECR avec politiques de cycle de vie et d'accès
Les registres d'artefacts d'entreprise proposent des politiques d'immuabilité configurables qui empêchent l'écrasement des artefacts après leur publication. Les politiques de dépôt de JFrog Artifactory peuvent imposer l'immuabilité au niveau de l'espace de noms. AWS ECR propose des paramètres d'immuabilité des images qui empêchent l'écrasement des étiquettes. Pour les professionnels de la TPRM, demander si le registre d'artefacts d'un fournisseur impose l'immuabilité des artefacts de production publiés constitue une question précise sur la sécurité des registres.
Enjeux de gouvernance
Le défi de gouvernance posé par la sécurité des registres d'artefacts est le problème de l'accumulation des accès. L'accès aux registres est généralement accordé à la demande et rarement revu de manière proactive. Les revues trimestrielles des accès, qui comparent les accès actuels au registre aux enregistrements des employés et des comptes de service actifs, sont le mécanisme de gouvernance qui empêche l'accumulation d'accès en écriture orphelins.
- Mettre en œuvre l'immuabilité des artefacts dans les espaces de noms de production
- Intégrer l'accès au registre au cycle de vie des identités : le départ d'un employé déclenche la révocation de ses accès au registre
- Mener une revue trimestrielle des accès au registre et la comparer aux comptes actifs
- Activer une journalisation d'audit complète pour toutes les opérations du registre
- Compléter les signatures par un épinglage par empreinte pour les artefacts critiques
Si vous êtes une petite équipe
Pour le registre d'artefacts de votre fournisseur de logiciels le plus critique, posez deux questions précises. Premièrement : votre registre d'artefacts de production impose-t-il l'immuabilité, autrement dit une version publiée peut-elle être écrasée par un contenu différent ? Deuxièmement : combien de comptes disposent actuellement d'un accès en écriture à l'espace de noms de production, et quand cette liste d'accès a-t-elle été revue pour la dernière fois ? Ces deux questions révèlent le risque de remplacement d'artefacts modifiables et l'hygiène des accès qui le sous-tend.
- Demander si le registre du fournisseur impose l'immuabilité des artefacts
- Demander le nombre actuel de comptes disposant d'un accès en écriture et la date de la dernière revue
- Demander une revue trimestrielle des accès aux registres des fournisseurs critiques
- Compléter la vérification des signatures par un épinglage par empreinte pour les artefacts critiques
Ce qu’il faut exiger
Demandez directement :
« Votre registre d'artefacts impose-t-il l'immuabilité des versions de production publiées, empêchant leur écrasement après publication, et quand l'accès en écriture à votre espace de noms de production a-t-il été revu pour la dernière fois afin de repérer les comptes désactivés ou inutiles ? »
Preuves attendues
- Confirmation de la configuration d'immuabilité du registre
- Registres des revues d'accès au registre et liste actuelle des comptes
- Intégration de l'accès au registre au cycle de vie des identités
- Disponibilité des journaux d'audit du registre
Un fournisseur qui confirme la signature de ses artefacts doit être interrogé sur l'immuabilité de son registre et sur ses contrôles d'accès. La signature confirme l'artefact au moment de sa publication. L'immuabilité garantit que l'artefact téléchargé est bien l'artefact publié. Les contrôles d'accès déterminent qui peut remplacer un artefact modifiable.
Comment le prouver
- Évaluation de l'immuabilité du registre
- Registres des revues d'accès
- Intégration au cycle de vie des identités
- Épinglage par empreinte pour les artefacts critiques
À retenir
Artefact : signé. Registre : modifiable. Accès en écriture : 17 comptes. Anciens employés : 3 comptes toujours actifs. La signature a confirmé l'artefact au moment de sa publication. Le registre modifiable permettait à n'importe lequel des 17 comptes de le remplacer. Les 3 comptes d'anciens employés n'avaient aucune raison professionnelle d'accès et ne faisaient l'objet d'aucune surveillance. L'immuabilité empêche le remplacement silencieux. La gestion du cycle de vie des accès empêche les accès en écriture orphelins. L'épinglage par empreinte détecte le remplacement, quelle que soit la configuration d'immuabilité. Ces trois mesures comblent l'écart entre un artefact signé et un artefact qui arrive intact.