Artifact Registry Security

Définition

L'Artifact Registry Security (sécurité des registres d'artefacts) couvre les pratiques de sécurisation des référentiels qui stockent les artefacts logiciels : images Docker, packages npm/Maven/PyPI/Helm, binaires, et autres artefacts produits par les pipelines CI/CD. Les registres d'artefacts sont des composants critiques de la supply chain logicielle — leur compromission permettrait d'injecter du code malveillant dans tous les projets consommant leurs artefacts. Les registres d'artefacts prennent plusieurs formes. Les registres publics (Docker Hub, npm, PyPI, Maven Central) hébergent des millions de packages open source — leur sécurité est la responsabilité collective de la communauté et des opérateurs. Les registres privés (JFrog Artifactory, Sonatype Nexus, Harbor, AWS ECR, GCP Artifact Registry, GitHub Container Registry) hébergent les artefacts internes d'une organisation et sont sous la responsabilité directe des équipes d'ingénierie. Les risques de sécurité des registres d'artefacts incluent : l'injection d'artefacts malveillants (compromission du registre ou de ses credentials d'écriture), l'accès non autorisé aux artefacts privés (exposition d'artefacts propriétaires), l'utilisation d'artefacts non validés ou non signés dans les déploiements, et les attaques de type "poisoning" où un artefact légitime est remplacé par une version malveillante. Les contrôles de sécurité pour les registres d'artefacts comprennent : l'authentification forte pour les accès en lecture et écriture (tokens à permissions minimales, rotation régulière), la signature cryptographique des images (Cosign) et sa vérification obligatoire à l'utilisation, la politique de Content Trust (uniquement les images signées peuvent être déployées), le scan de vulnérabilités des artefacts stockés (JFrog Xray, Trivy, Harbor Vulnerability Scanning), la réplication avec contrôle d'intégrité pour les registres en haute disponibilité, et l'audit logging complet des opérations push/pull. Les politiques de rétention (suppression automatique des artefacts anciens non référencés) et la quarantaine (les nouveaux artefacts sont scannés avant d'être disponibles en production) complètent la posture de sécurité des registres.