Page d'accueil d'OpenText.
Sujets techniques

Qu'est-ce que la sécurité à code source ouvert ?

Illustration de matériel informatique, avec un ordinateur portable en particulier.

Aperçu

La sécurité des logiciels libres, communément appelée analyse de la composition logicielle (SCA), est une méthodologie visant à offrir aux utilisateurs une meilleure visibilité sur l'inventaire des logiciels libres de leurs applications. Cela se fait en examinant les composants via des empreintes binaires, en utilisant des recherches privées et professionnelles, en faisant correspondre des analyses précises à ces renseignements propriétaires, et en fournissant aux développeurs ces renseignements directement dans leurs outils préférés.

Qu'est-ce que l'Open Source ?

Qu'est-ce que l'Open Source ?

Le terme « logiciel libre » désigne tout logiciel dont le code source est accessible, ce qui permet à chacun de le modifier et de le partager librement. Le code source est la partie du logiciel que les utilisateurs ne voient pas ; c'est le code que les programmeurs peuvent créer et modifier pour changer le fonctionnement du logiciel. En ayant accès au code source d'un programme, les développeurs ou les programmeurs peuvent améliorer le logiciel en y ajoutant des fonctionnalités ou en corrigeant les parties qui ne fonctionnent pas toujours correctement.

Pourquoi utiliser des logiciels libres ?

Dans le monde des affaires d'aujourd'hui, qui évolue à un rythme effréné, les équipes de développement de logiciels ont adopté des pratiques de développement agile comme DevOps pour répondre aux exigences des entreprises. Ces pratiques exercent une forte pression sur les développeurs pour qu'ils conçoivent et déploient des applications plus rapidement. Pour atteindre leurs objectifs dans des cycles de développement logiciel courts, les développeurs utilisent fréquemment des composants logiciels libres. Les logiciels libres (OSS) sont distribués gratuitement, ce qui les rend très économiques. De nombreux développeurs profitent du fait de commencer avec des logiciels libres, puis de les adapter à leurs besoins. Puisque le code est ouvert, il suffit de le modifier pour ajouter les fonctionnalités souhaitées.

L'open source représente-t-il un risque pour la sécurité ?

C'est pas un secret… les développeurs utilisent des logiciels libres.

Il reste néanmoins des questions quant à la manière dont cela devrait être géré – et ce, à juste titre.

Voici pourquoi :

  • Tous les composants à code source ouvert ne se valent pas. Certaines sont vulnérables dès le départ, tandis que d'autres se détériorent avec le temps.
  • Son utilisation est devenue plus complexe. Avec des dizaines de milliards de téléchargements, la gestion des bibliothèques et des dépendances directes devient de plus en plus difficile.
  • Dépendances transitives : si vous utilisez des outils de gestion des dépendances comme Maven (Java), Bower (JavaScript), Bundler (Ruby), etc., vous intégrez automatiquement des dépendances tierces – un risque que vous ne pouvez pas vous permettre.
  • Plus de 300 000 composants libres sont téléchargés chaque année par une entreprise moyenne.
  • En 2018, sur des milliards de téléchargements de composants open source, 1 composant open source sur 10 présentait des vulnérabilités de sécurité connues (10,3 %).
  • 51 % des téléchargements de paquets JavaScript contenaient des failles de sécurité connues.
  • Augmentation de 71 % des violations de données confirmées ou soupçonnées liées aux logiciels libres depuis 2014

Comment identifier les vulnérabilités des logiciels libres dans mon logiciel ?

Les entreprises doivent sécuriser non seulement le code qu'elles écrivent, mais aussi le code qu'elles utilisent à partir de composants open source. C'est pourquoi de nombreuses organisations utilisent Sonatype pour automatiser la gouvernance open source à grande échelle tout au long du cycle de vie du développement logiciel, en intégrant la sécurité dès les phases de développement et de compilation.

Découvrez la meilleure solution intégrée de sa catégorie pour la sécurité du code personnalisé et du code open source avec OpenText™ Cybersecurity Cloud et Sonatype. L'analyse précise des sources ouvertes offre une vue à 360 degrés des problèmes de sécurité des applications, tant au niveau du code personnalisé que des composants open source, en une seule analyse. Vous pouvez effectuer des recherches de vulnérabilités dans les codes open source et personnalisés à partir d'une seule analyse et d'un seul tableau de bord.

Fortify offre également des services de renseignement et de sécurité en sources ouvertes via Debricked , utilisant un apprentissage automatique de pointe pour des résultats plus rapides et plus précis. Debricked est une solution d'analyse de composition logicielle native du nuage que les développeurs veulent utiliser et qui, par conséquent, augmente leur productivité. Cette solution utilise une approche holistique avec des intégrations transparentes dans le cycle de vie DevOps pour gérer de manière proactive les risques liés à la chaîne d'approvisionnement logicielle.

Produits connexes

OpenText™ Fortify sur demande

Déverrouillez les tests de sécurité, la gestion des failles, ainsi que l'expertise et le soutien sur mesure.

Analyseur de code statique OpenText ™ Fortify

Identifiez et résolvez les problèmes de sécurité tôt avec les résultats les plus précis de l'industrie.

OpenText™ Cybersecurity Cloud

Défendez avec précision, sécurisez avec confiance

Gestion des identités et des accès

Sécurisez vos actifs numériques en gérant en toute confiance les identités et les accès.

Confidentialité et protection des données

Sécuriser les données, réduire les risques, améliorer la conformité et contrôler l'accès.

Voir tous les produits connexes

Comment pouvons-nous vous aider?

Notes de bas de page