Le pipeline DevOps typique peut comporter des centaines d'outils différents avec des magasins de secrets indépendants, comme Ansible Vault et les secrets Kubernetes. En outre, chaque solution aborde les certificats SSL/TLS différemment, ce qui oblige les développeurs à investir du temps pour apprendre chacune d'entre elles. L'utilisation d'un large éventail d'approches complique également le code. Les DevOps doivent faire face à la prolifération des secrets en raison de la volonté de l'entreprise de déployer plus fréquemment les modifications apportées aux applications.
L'un des obstacles les plus importants à l'amélioration de la sécurité globale des produits logiciels est la façon dont les développeurs ont historiquement géré les secrets d'application. Dans le cadre de DevSecOps, les secrets font référence aux informations d'authentification numérique utilisées dans les services et les applications, notamment les mots de passe (y compris les mots de passe générés automatiquement et les mots de passe à usage unique), les noms d'utilisateur, les jetons d'API, les clés SSH, les mots de passe de système à système et de base de données, les certificats privés, les clés de chiffrement privées, les séquences RSA et les séquences de broches de clavier, entre autres.
Les pirates peuvent facilement compromettre une application de manière à ce qu'elle leur donne accès à des identifiants d'utilisateur, dont beaucoup sont réutilisés dans une entreprise. Les cybercriminels ont attaqué Uber par le biais de secrets laissés sur GitHub. Accenture a laissé des secrets exposés sur Amazon S3, tandis que Viacom a laissé des clés d'authentification accessibles au public sur Puppet.
DevSecOps met l'accent sur la sécurité dans l'union des personnes, des processus et des outils pour construire, tester et publier des logiciels plus fréquemment et de manière plus fiable. Des outils comme Vault automatisent les activités de DevSecOps pour réduire les délais de livraison, améliorer la qualité et la sécurité, et éliminer l'erreur humaine. La solution rationalise les processus reproductibles pour obtenir des cycles de livraison plus rapides et plus sûrs et la satisfaction des clients.
Les applications et les services numériques divulguent des clés d'authentification dans différentes circonstances, telles que les configurations de journalisation des applications, les clés d'authentification laissées dans les fichiers journaux ou les systèmes de journalisation centralisés. Les acteurs externes capturent également des clés d'authentification dans les rapports de crash transmis aux systèmes de surveillance externes ou par le biais des terminaux de débogage.
Plus les organisations deviennent compétentes dans la gestion des clés d'authentification d'application, plus les environnements d'application deviennent sûrs. L'utilisation de DevSecOps et d'outils comme Vault permet à votre entreprise de connaître l'emplacement de toutes les clés d'authentification, les parties qui y accèdent, les délais dans lesquels les clés d'authentification se sont retrouvées à cet endroit et les modifications qui y ont été apportées.
DevSecOps offre des applications sécurisées par défaut en intégrant la sécurité via des outils comme Vault.
*Échantillon de conception high level
TZUM, 2 boul. Maria Luiza
1000 Sofia, Bulgarie
hello(at)technofy.io
.webp){kind=icon}
