Page d'accueil d'OpenText.
Thèmes techniques

Qu'est-ce que la sécurité des sources ouvertes ?

Illustration d'articles informatiques avec un ordinateur portable en point de mire

Présentation

La sécurité des sources ouvertes, communément appelée analyse de la composition des logiciels (SCA), est une méthodologie qui offre aux utilisateurs une meilleure visibilité sur l'inventaire des sources ouvertes de leurs applications. Pour ce faire, nous examinons les composants à l'aide d'empreintes binaires, nous utilisons des recherches exclusives et sélectionnées par des professionnels, nous comparons des analyses précises à ces renseignements exclusifs et nous fournissons aux développeurs ces renseignements directement dans leurs outils préférés.

Qu'est-ce que l'Open Source ?

Qu'est-ce que l'Open Source ?

L'open source désigne tout logiciel dont le code source est accessible et que chacun peut modifier et partager librement. Le code source est la partie du logiciel que les utilisateurs ne voient pas ; c'est le code que les programmeurs peuvent créer et modifier pour changer le fonctionnement du logiciel. En ayant accès au code source d'un programme, les développeurs ou les programmeurs peuvent améliorer le logiciel en y ajoutant des fonctionnalités ou en corrigeant les parties qui ne fonctionnent pas toujours correctement.

Pourquoi utiliser des logiciels libres ?

Dans le monde des affaires d'aujourd'hui, qui évolue rapidement, les équipes logicielles ont adopté des pratiques de développement agiles, telles que DevOps, pour répondre à la demande des entreprises. Ces pratiques exercent une forte pression sur les développeurs pour qu'ils créent et déploient des applications plus rapidement. Pour atteindre leurs objectifs dans le cadre de cycles courts de publication de logiciels, les développeurs utilisent fréquemment des composants logiciels libres. Les logiciels libres sont distribués gratuitement, ce qui les rend très rentables. De nombreux développeurs tirent profit du fait de commencer par un logiciel libre et de l'adapter ensuite à leurs besoins. Le code étant ouvert, il suffit de le modifier pour ajouter les fonctionnalités souhaitées.

L'Open Source présente-t-il un risque pour la sécurité ?

Ce n'est pas un secret... les développeurs utilisent des logiciels libres.

Pourtant, la manière dont il doit être géré suscite des interrogations, et ce pour de bonnes raisons.

Voici pourquoi :

  • Les composants open source ne sont pas tous égaux. Certains sont vulnérables dès le départ, tandis que d'autres se dégradent avec le temps.
  • L'utilisation est devenue plus complexe. Avec des dizaines de milliards de téléchargements, il est de plus en plus difficile de gérer les bibliothèques et les dépendances directes.
  • Dépendances transitives : si vous utilisez des outils de gestion des dépendances tels que Maven (Java), Bower (JavaScript), Bundler (Ruby), etc., vous intégrez automatiquement des dépendances tierces - une responsabilité que vous ne pouvez pas vous permettre.
  • Plus de 300 000 composants open source sont téléchargés chaque année par une entreprise moyenne.
  • En 2018, sur des milliards de téléchargements de versions de composants open source, 1 composant open source sur 10 présentait des vulnérabilités de sécurité connues (10,3%).
  • 51% des téléchargements de paquets JavaScript contenaient des failles de sécurité connues.
  • 71% Augmentation du nombre de brèches confirmées ou suspectées liées aux sources ouvertes depuis 2014

Comment identifier les vulnérabilités des logiciels libres dans mon logiciel ?

Les entreprises doivent sécuriser non seulement le code qu'elles écrivent, mais aussi celui qu'elles consomment à partir de composants open source. C'est pourquoi de nombreuses entreprises utilisent Sonatype pour automatiser la gouvernance de l'open source à l'échelle de l'ensemble du SDLC, en déplaçant la sécurité vers les phases de développement et de construction.

Découvrez la meilleure solution intégrée pour la sécurité du code personnalisé et du code open source avec OpenText™ Cybersecurity Cloud et Sonatype. Des informations précises sur les sources ouvertes offrent une vue à 360 degrés des problèmes de sécurité des applications à travers le code personnalisé et les composants open source en une seule analyse. Vous pouvez effectuer des recherches sur les vulnérabilités du code source ouvert et du code personnalisé dans une seule analyse et un seul tableau de bord.

Fortify offre également une intelligence et une sécurité open source grâce à Debricked qui utilise l'apprentissage automatique de pointe pour des résultats plus rapides et plus précis. Debricked est une solution d'analyse de la composition des logiciels en nuage que les développeurs veulent utiliser et qui, à son tour, augmente la productivité. Cette solution utilise une approche holistique avec des intégrations transparentes dans le cycle de vie DevOps pour gérer de manière proactive les risques de la chaîne d'approvisionnement en logiciels.

Produits associés

OpenText™ Fortify On Demand

Bénéficiez de tests de sécurité, d'une gestion des failles, ainsi que d'une expertise et d'une assistance sur mesure.

OpenText™ Fortify Static Code Analyzer (analyseur de code statique)

Détectez et résolvez les problèmes de sécurité de manière proactive, en bénéficiant des résultats les plus précis du secteur.

OpenText™ Cybersecurity Cloud

Défendez avec précision, sécurisez en toute confiance

Gestion des identités et des accès

Sécurisez vos ressources numériques en gérant en toute confiance les identités et les accès

Confidentialité et protection des données

Sécurisez les données, réduisez les risques, améliorez la conformité et gouvernez les accès

Voir tous les produits apparentés

Comment pouvons-nous vous aider ?

Notes de bas de page