Menaces pesant sur la supply chain des logiciels open source (OSS) et perspectives pour 2025

L’OSS comme vecteur d’attaque

Le logiciel open source (OSS) est devenu une menace majeure au cours des dix dernières années, en raison de sa large diffusion et de l’absence de modèle de responsabilité partagée. Avec plus de 5 millions de paquets OSS disponibles, environ 90 % du code moderne en utilise, ce qui représente jusqu’à 80 % de la base de code de nombreuses entreprises. Cependant, le manque de gouvernance et de transparence en fait une cible idéale pour les attaques sur la supply chain.

Les attaques sur la supply chain ont augmenté de 431 % depuis 2021 et continueront de représenter un risque élevé en 2025. La cybercriminalité étant une activité fondée sur le rapport entre l’effort fourni et le gain obtenu, la compromission d’un seul paquet OSS peut entraîner de multiples violations et toucher simultanément de nombreuses entreprises.

Menaces spécifiques à la supply chain OSS

1. Absence de SBOM (Software Bill of Materials) : les développeurs OSS ne sont pas tenus de fournir un SBOM, ce qui réduit la visibilité sur les dépendances du logiciel et accroît le risque de vulnérabilités.
2. Gestion inégale des mises à jour : de nombreuses bibliothèques OSS sont maintenues avec des ressources limitées, ce qui rend les mises à jour de sécurité irrégulières.
3. Attaques sociales et techniques : des cas comme XZ Utils montrent comment des acteurs malveillants peuvent s’infiltrer dans les projets OSS grâce à des techniques d’ingénierie sociale.
4. Ingérences d’entités étrangères : des organisations et des États hostiles exploitent l’écosystème OSS pour introduire du code malveillant (par ex. l’incident Polyfill).
5. Risque de vulnérabilités critiques : des événements tels que Log4j, Heartbleed et Shellshock mettent en évidence le caractère imprévisible et l’impact potentiel de vulnérabilités à grande échelle.

IA et OSS : de nouveaux défis de sécurité

L’intelligence artificielle (IA) est appelée à être le grand facteur de perturbation de la cybersécurité en 2025. L’utilisation croissante d’outils de génération de code basés sur l’IA, comme ChatGPT, expose les entreprises à de nouveaux risques :

• « AI Package Hallucination » : des acteurs malveillants peuvent amener les modèles d’IA à suggérer des paquets inexistants, puis publier des versions compromises sur des registres OSS tels que npm ou PyPI.
• Vulnérabilités introduites par l’IA : la synthèse de code basée sur l’IA peut générer involontairement des failles de sécurité.
• Modèles d’IA OSS : les modèles d’IA open source téléchargeables depuis des plateformes comme Hugging Face présentent des risques similaires à ceux des bibliothèques OSS traditionnelles.

Tentatives de défense de la supply chain OSS

1. SBOM : bien qu’ils soient promus par le gouvernement américain avec le décret EO14028, leur adoption reste limitée. Des outils comme npm sbom . (commande qui génère un Software Bill of Materials, SBOM) simplifient la gestion des dépendances, mais il reste à voir si les entreprises les utiliseront à grande échelle.
2. AI BOM : le secteur travaille à l’élaboration de SBOM spécifiques aux modèles d’IA, comme les ML-BOM, afin de suivre les jeux de données, les algorithmes et les dépendances.
3. Tea Protocol : un nouveau framework basé sur la blockchain vise à améliorer la pérennité et la sécurité de l’OSS, en récompensant les développeurs et en encourageant le signalement des vulnérabilités. Toutefois, des inquiétudes subsistent concernant les abus et les attaques DoS sur les registres OSS.

Réglementations et avenir de la sécurité OSS

L’année 2025 verra un renforcement de la réglementation sur la sécurité de la supply chain logicielle, avec des textes comme NIS2, DORA et ECRA en Europe et des initiatives américaines telles que CISA Secure by Design. Toutefois, des réglementations adoptées en réaction à des incidents pourraient augmenter les coûts et pousser les entreprises à réduire leur soutien à l’OSS pur, au profit d’alternatives à code fermé ou sous licences hybrides.

Conclusion

L’OSS continuera de représenter un risque pour la supply chain logicielle en 2025. Si les SBOM, les réglementations et les nouvelles technologies fournissent des outils de défense, aucune solution ne garantit une sécurité totale. Les entreprises doivent se préparer à un paysage de menaces en constante évolution, en renforçant la gouvernance de l’OSS et en adoptant des stratégies d’atténuation proactives.

Source : SecurityWeek.com