Lupin & Holmes, start-up française de R&D en cybersécurité offensive, annonce le lancement de Depi, un outil de sécurisation des environnements de la Supply Chain logicielle.
Communiqué de presse – Alors que beaucoup d’entreprises utilisent du code tiers – par exemple 89% des entreprises utiliseraient du code open source dans leur propre code, l’intégrité de la supply chain logicielle est menacée.
Plutôt que de vérifier le contenu des dépendances et leur code, Depi vérifie la sécurité de l’environnement de la dépendance, notamment les dépôts / repositories, et s’assure que le code est toujours maintenu par des développeurs de confiance
Dans le cadre de ses « recherches », le hacker français Roni Carta a détecté des faiblesses récurrentes dans l’environnement des dépendances logicielles, pouvant coûter jusqu’à 81 milliards de dollars d’ici 2026.
Il a donc développé Depi, qui plutôt que de vérifier le contenu des dépendances et leur code, vérifie la sécurité de l’environnement de la dépendance, notamment les dépôts / repositories, et s’assure que le code est toujours maintenu par des développeurs de confiance.
Ci-dessous une capture d’écran de la solution, dont le modèle économique repose sur la souscription. Vous trouverez également le communiqué de presse de lancement de Depi en pièce jointe et ci-dessous.
Pour aller plus loin, je vous invite à lire cet article expliquant comment Roni Carta a réussi à identifier une faille dans la supply chain logicielle d’un acteur du Fortune 500, avec à la clé une récompense de 17,000$ en bug bounty.
Dans un monde numérique en évolution rapide, les entreprises cherchent à aller vite pour fournir de nouveaux produits, de nouveaux services, de nouvelles interfaces dédiées à leurs collaborateurs, partenaires et clients. Plutôt que de partir de zéro, elles exploitent et connectent des composants préconstruits, les reliant entre eux pour créer de nouvelles solutions, toujours plus rapidement. Ces composants (dépendances) appelés depuis la supply chain logicielle (et notamment des dépôts logiciels comme GitHub ou GitLab) améliorent le time to market, mais ils peuvent aussi constituer un véritable raccourci vers un cauchemar en matière de sécurité.
La facilité d’intégration de ces composants s’accompagne d’un effet de bord : la perte de visibilité sur les composants utilisés, sur leur légitimité : les entreprises n’ont souvent aucune idée de ce qui se cache sous la surface du code qu’elles déploient si facilement, d’autant que des vulnérabilités existent au niveau du transit de ces paquets, surtout si un acteur malveillant est capable d’en changer le contenu, ou de faire pointer le système vers un paquet presque identique, mais hébergeant un malware ou une porte dérobée.
“Le code source d’un logiciel peut embarquer des failles mais ce n’est pas à cet aspect que s’attache Depi. En adressant la question de la sécurité de la Supply Chain logicielle, on réduit considérablement le risque : si l’on s’assure que l’environnement dans lequel se trouve la dépendance logicielle est sécurisé, qu’elle ne peut pas être manipulée par de mauvaises personnes et que le projet de l’entreprise pointe effectivement vers le dépôt et le paquet qu’elle cherche à atteindre, la surface d’attaque est immédiatement réduite ainsi que le risque qui lui est associé”, explique Roni Carta, co-fondateur de Lupin & Holmes.
“Les faiblesses de l’environnement de modification, d’hébergement et de transit des dépendances logicielles fournissent immanquablement un terrain de jeu idéal aussi bien pour les hackers éthiques que pour les pirates informatiques, c’est à cette vulnérabilité que Depi s’attaque. Pour autant, nous n’avons pas oublié l’importance d’identifier du code malveillant, puisque cette fonctionnalité est également embarquée dans la solution.”
Disponibilité et prix
Depi est accessible sur invitation à l’adresse suivante : https://landh.tech/depi/.
La tarification de Depi repose sur trois formules, incluant toutes le scope fonctionnel complet, sachant que seuls les dépôts actifs sont comptabilisés, quelle que soit la formule choisie.
- La première formule permet de surveiller jusqu’à 100 dépôts, sur la base d’un scan hebdomadaire pour 20€ par mois et par dépôt.
- La seconde formule permet de surveiller jusqu’à 500 dépôts, sur la base d’un scan toutes les 72h pour 17€ par mois et par dépôt.
- La troisième formule est complètement personnalisable. Le budget est déterminé en fonction des options choisies.
