Lors du développement d’un projet de logiciel, vous utilisez probablement d’autres logiciels pour construire et exécuter votre application, comme les bibliothèques open source, les frameworks et d’autres outils. Ces ressources sont collectivement appelées « dépendances », car votre project dépend d’elles pour fonctionner normalement. Votre projet pourrait s’appuyer sur certaines de ces dépendances, formant ce qu’on appelle votre « chaîne d’approvisionnement ».

Votre chaîne d’approvisionnement peut poser un risque de sécurité. Si l’une de vos dépendances a une faille de sécurité ou un bug, des acteurs malveillants pourraient exploiter cette vulnérabilité pour, par exemple, insérer un code malveillant (malware). Ce type d’attaque s’appelle une « attaque de la chaîne d’approvisionnement ». Si votre chaîne d’approvisionnement contient des dépendances vulnérables, cela compromet la sécurité de votre projet, et expose également vos utilisateurs au risque.

L’une des choses les plus importantes à faire pour protéger votre chaîne d’approvisionnement est de réparer vos dépendances vulnérables.

Les hackers ne ciblent pas que les dépendances que vous utilisez ; ils ciblent également vos comptes d’utilisateurs et vos processus de build. Il est important de sécuriser les deux pour vous assurer que le code que vous distribuez n’a pas été affecté.

GitHub offre une série de fonctionnalités pour vous aider à comprendre les dépendances et les sécuriser dans votre environnement, et à sécuriser vos comptes GitHub et votre système de build.

Contrairement aux modules complémentaires de sécurité tiers, les fonctionnalités de la chaîne d’approvisionnement de GitHub s’intègrent aux workflows natifs de GitHub que les développeurs connaissent et apprécient déjà. En permettant aux développeurs d’éliminer les vulnérabilités au fur et à mesure, GitHub donne le temps aux équipes de sécurité de se concentrer sur les stratégies essentielles visant à protéger les activités, les clients et les communautés contre les vulnérabilités liées aux applications.

Supply-chain Levels for Software Artifacts (SLSA) est un framework qui aide à améliorer l’intégrité de bout en bout d’un artefact de logiciel tout au long de son cycle de vie de développement. Cela offre une méthodologie étape par étape complète pour construire l’intégrité et les garanties d’origine dans votre chaîne d’approvisionnement logicielle. Le niveau SLSA 3 définit une chaîne d’approvisionnement logicielle bien plus endurcie, où les builds sont très isolés, l’historique du code source vérifié, et l’origine contrôlée de façon stricte, offrant ainsi une garantie contre la manipulation et assurant l’intégrité des artefacts logiciels. GitHub Actions et Artifact Attestations simplifient grandement le parcours vers le niveau SLSA 3.

Vous pouvez exporter une nomenclature logicielle ou SBOM pour votre repo du graphe des dépendances de GitHub. Les SBOM créent de la transparence dans l’utilisation de votre open source et aident à détecter les vulnérabilités de la chaîne d’approvisionnement, réduisant les risques liés à celles-ci.

La plupart des fonctionnalités de la chaîne d’approvisionnement de GitHub sont gratuites pour tous les utilisateurs. Quelques fonctionnalités avancées sont disponibles pour les repos privés uniquement dans GitHub Code Security. Voir la tarification.