Supply Chain Security
La sécurité de la chaîne d'approvisionnement protège la chaîne du logiciel (dépendances/construction/distribution) contre les attaques par injection, à l'aide de signatures, lock files, SBOM et constructions reproductibles.
Objectif
Prévenir les dépendances malveillantes et l'injection d'artefacts de construction, en gardant la provenance du logiciel digne de confiance.
Mécanisme
Les lock files figent les versions des dépendances. Les audits (npm audit/Trivy) détectent des vulnérabilités. Les images signées (Cosign) vérifient la provenance. Les SBOM énumèrent toutes les dépendances. Les constructions reproductibles vérifient l'intégrité. Le cadre SLSA note la maturité.
Cas d’usage
- Sécurité des dépendances
- Signature d'images
- Utilisation des SBOM