Aller au contenu
Sécurité medium

Packaging & artefacts : vecteurs d'attaque (SOCLE)

2 min de lecture

L'étape Packaging & artefacts de la chaîne logicielle regroupe 4 vecteurs d'attaque, ancrés dans SLSA (F). Chaque vecteur décrit ce que vise l'attaquant et renvoie aux exigences SOCLE qui le neutralisent.

Altération d'artefact post-build
Secret embarqué dans l'artefact
Image de base empoisonnée

Techniques principales observées à cette étape : ce sont des approches alternatives, pas une séquence.

Vecteurs d'attaque

Les pastilles renvoient aux exigences SOCLE qui neutralisent chaque vecteur.

V-PKG-1Altération d'artefact post-build
L'artefact est modifié après sa construction mais avant sa publication ou son déploiement, échappant aux contrôles appliqués au code source. Sans intégrité de bout en bout, l'artefact livré diffère de celui qui a été buildé.
V-PKG-2Secret embarqué dans l'artefact
Un secret (clé, jeton, mot de passe) est inclus par erreur dans l'image ou le paquet publié, exposé à tous ses consommateurs. La fuite se propage à chaque téléchargement de l'artefact.
Ancré dansCICD-SEC-6
Exigences qui le neutralisent SOCLE-PKG-GEN-3SOCLE-PKG-IMG-3SOCLE-SEC-GEN-2
V-PKG-3Image de base empoisonnée
L'image de base utilisée pour construire les conteneurs contient une charge malveillante ou une vulnérabilité, héritée par tous les artefacts qui en dérivent. Le socle d'exécution contamine toute la production.
V-PKG-4Réécriture de tag mutable
Un tag mutable (latest, une version) est réécrit pour pointer vers un artefact malveillant, livré aux consommateurs qui font confiance au tag plutôt qu'au digest. La mutabilité brise l'immuabilité attendue d'une version publiée.

Ce site vous est utile ?

Sachez que moins de 1% des lecteurs soutiennent ce site.

Je maintiens +700 guides gratuits, sans pub ni tracing. Aujourd'hui, ce site ne couvre même pas mes frais d'hébergement, d'électricité, de matériel, de logiciels, mais surtout de cafés.

Un soutien régulier, même symbolique, m'aide à garder ces ressources gratuites et à continuer de produire des guides de qualité. Merci pour votre appui.

Abonnez-vous et suivez mon actualité DevSecOps sur LinkedIn