Software Supply Chain Security

Définition

La Software Supply Chain Security (sécurité de la chaîne d'approvisionnement logicielle) regroupe l'ensemble des pratiques, contrôles et outils visant à sécuriser chacune des étapes successives menant du code source écrit par un développeur jusqu'au logiciel effectivement déployé et exécuté en production, une discipline devenue centrale après plusieurs incidents majeurs, notamment la compromission de SolarWinds en 2020, ayant démontré qu'un attaquant infiltrant un maillon unique de cette chaîne peut compromettre indirectement l'ensemble des clients en aval utilisant le logiciel affecté. La sécurisation du code source couvre le contrôle des accès au dépôt, la revue obligatoire de chaque modification et la signature des commits garantissant leur authenticité. La gestion des dépendances tierces, particulièrement critique compte tenu du volume considérable de bibliothèques open-source intégrées dans tout logiciel moderne, s'appuie sur des SBOM exhaustifs et une surveillance continue des vulnérabilités affectant ces composants. La sécurisation du processus de build impose l'usage d'environnements de construction reproductibles et isolés, empêchant l'injection de code malveillant durant la compilation elle-même. La signature cryptographique des artefacts produits, via des standards comme Sigstore ou Notary V2, garantit leur intégrité et leur authenticité jusqu'au déploiement final. Le cadre SLSA (Supply-chain Levels for Software Artifacts), développé par Google, formalise ces exigences selon des niveaux de maturité croissants, devenant une référence structurante de l'industrie.