Évaluer les risques des dépendances d'un projet

Les dépendances d'un projet sont les bibliothèques écrites par d'autres que votre programme utilise. Un projet moyen en compte des dizaines, et chacune en a d'autres derrière elle.

Leurs failles deviennent les vôtres. Savoir lire la liste de ce qu'on utilise évite une grande part des incidents. Il faut repérer une version ancienne et ne laisser aucun secret dans le code.

Quand vous ajoutez une bibliothèque, vous ajoutez aussi ses propres dépendances. Une faille cachée trois niveaux plus bas atteint quand même votre programme.

On ne peut pas relire tout ce code. On garde donc la liste à jour, on la garde courte, et on sait qui s'occupe de la mettre à jour.

Une ligne outil==2.9.0 fige la version. Une ligne outil sans numéro prend ce qui existe au moment de l'installation, donc quelque chose de différent demain.

Figer permet deux choses : refaire la même installation le jour où une faille est annoncée, et savoir quelle version vous faites tourner. On met à jour exprès, jamais par accident.

Une version s'écrit avec des points, comme 2.9.0 ou 2.31.0. Comparée comme du texte, 2.31.0 paraît plus petite que 2.9.0, car le caractère 3 vient avant 9.

Pour comparer correctement, on découpe la version aux points et on compare les nombres un par un. La version 2.31.0 est bien plus récente que 2.9.0.

Voyez l'erreur avec la commande sort, qui trie des lignes comme du texte. Elle reçoit deux versions, 2.9.0 et 2.31.0, et les range dans l'ordre des caractères.

La commande n'attaque rien : elle trie deux lignes que printf lui donne. Regardez laquelle des deux sort en premier.

printf '2.9.0\n2.31.0\n' | sort

# Changez les deux versions et relancez.
ancienne = "2.9.0"
recente = "2.31.0"
a = []
for morceau in ancienne.split("."):
    a.append(int(morceau))
b = []
for morceau in recente.split("."):
    b.append(int(morceau))
print(a, b)
print("comme du texte :", ancienne < recente)
print("comme des nombres :", a < b)

Une clé d'accès, un mot de passe ou un jeton écrits dans un fichier du projet sont lisibles. Toute personne qui a le code peut les lire.

Même supprimé dans la version suivante, le secret reste dans l'historique. Il faut le considérer comme public, le remplacer, puis le ranger hors du code, dans une variable d'environnement ou un coffre.

Les outils qui cherchent des secrets cherchent des formes : un mot comme cle_api, un signe égal, un texte entre guillemets. Cette commande le montre sur deux lignes inventées.

grep -n affiche la ligne trouvée avec son numéro. Ici, seule la première ligne contient cle_api. La fausse clé n'ouvre rien : elle est inventée pour l'exemple.

printf 'cle_api = "AKIAEXEMPLE123"\nnom = "boutique"\n' | grep -n "cle_api"

Le laboratoire est une application qui cache de faux secrets à de mauvais endroits. Ouvrez-la avec le bouton Ouvrir de la page du laboratoire, puis lisez le défi 0 qui explique le jeu.

Pour cette leçon, ne résolvez aucun défi. Notez seulement trois endroits où l'on pourrait cacher un secret par erreur dans une application. Les défis se résolvent après la leçon.