Les attaques de la chaîne d'approvisionnement sont un problème majeur aujourd'hui. Le nombre de ces attaques aux États-Unis a augmenté de 115 % entre 2022 et 2023, selon Statista. Des outils comme Socket et Coana détectent le code malveillant dans les registres comme NPM. Mais le risque de la chaîne d'approvisionnement ne s'arrête pas là.
Certains outils sont des scripts tiers qui sont récupérés par le navigateur de l'utilisateur. En ne vérifiant que NPM (ou un autre registre), vous n'êtes pas protégé contre les attaques via ces scripts.
Ces scripts, utilisés pour le suivi marketing, les publicités, les captchas et bien plus encore, sont fréquemment implémentés sur des sites entiers par commodité. Ces scripts sont puissants et peuvent faire des choses comme réécrire du code, rediriger les utilisateurs, exfiltrer des données et même miner de la crypto dans votre navigateur.
Le mode de livraison de ces scripts permet un comportement dynamique. N'importe quel utilisateur peut recevoir une livraison différente à chaque fois, surtout lorsqu'un script a été compromis.
Alors que de plus en plus de personnes adoptent de meilleures approches de sécurité des dépendances, les scripts dynamiques qui sont récupérés côté navigateur constituent un vecteur d'attaque de plus en plus intéressant et substantiel. Cela fait de la vérification des sources seules un jeu risqué. La meilleure approche consiste à vérifier le code complet à chaque fois qu'il est livré, ce que fait cside.
De plus, beaucoup de ces scripts ne sont pas maintenus par des entreprises centrées sur la technologie. Les outils peuvent être négligés lorsque les entreprises se dissolvent ou sont acquises, les rendant susceptibles d'être détournés. Même les services réputés et largement utilisés ne sont pas sans défauts, comme en témoignent les problèmes de cdnjs en 2021 ou cette personne qui a acheté un domaine expiré de la police et des services sociaux en Belgique et a obtenu l'accès à des informations privées de cette manière.
Enfin, 95 % de ces scripts manquent de protections contre les détournements DNS. Même le réseau sur lequel vous vous trouvez peut impacter le script que vous recevez.
Que faire face à tout cela
Voici ce que nous recommandons :
Utilisez un outil comme Socket (ou des alternatives) pour le risque de la chaîne d'approvisionnement sur le registre et utilisez cside pour surveiller le comportement des scripts tiers côté navigateur. Nous vérifions le code complet des sources tierces, 100 % du temps, avant qu'il ne soit livré au navigateur de votre utilisateur. Sécurisant ainsi pleinement ce côté de la chaîne d'approvisionnement.
Enfin, vous devriez protéger votre infrastructure contre les attaques entrantes. Pour cela, utilisez quelque chose comme le pare-feu d'application Web de Cloudflare.
Des éléments plus spécifiques comme les téléchargements de formulaires et la détection de bots peuvent nécessiter des outils spécialisés.
Utilisez des outils de surveillance proactive comme Hadrian ou Cycognito pour surveiller la surface de menace.
