Bilan du quatrième trimestre 2020 — exécution de code à distance sur iOS, SAST pensé pour les développeurs et plus encore

Dans ce quatrième volet de la rétrospective annuelle du blog Snyk, nous revenons sur quelques-unes des annonces et actualités majeures publiées en octobre, novembre et décembre, pour clôturer une année riche en contenu. Nous avons déjà mis en avant trois articles par trimestre, consacrés à des sujets allant des bonnes pratiques Angular à deux levées de fonds et une acquisition : quelle année ! Commençons par un article auquel nous faisions allusion dans le précédent.

À LIRE AUSSI : Bilan du premier trimestre 2020 — rapport sur l’écosystème JVM, éclairages sur le DevSecOps et plus encore

Octobre 2020 : SourMint : exécution de code à distance sur iOS, découvertes sur Android et réactions de la communauté

Comme nous l’avons indiqué dans l’article du troisième trimestre, deux divulgations faisaient suite à la détection d’une activité suspecte du SDK SourMint sur iOS et Android. Dans notre premier article, publié en août, nous avions uniquement détaillé les comportements malveillants détectés dans la version iOS du SDK, principalement liés à la fraude publicitaire et aux fuites de données. En octobre, nous avons toutefois révélé de nouvelles découvertes : il était possible d’exécuter du code à distance sur iOS, une faille exploitable par des bannières publicitaires ou par Mintegral lui-même. Nous avons également découvert que le SDK Android contenait du code malveillant susceptible de divulguer des données sensibles. La vidéo ci-dessous le montre :

Play Video: Malicious Mintegral SDK Leaks Data on Android

L’article présentait les réactions notables de la communauté, notamment celles de certaines plateformes de monétisation. MoPub, par exemple, répertorie désormais Mintegral comme réseau obsolète et recommande de le « supprimer de tous les segments d’inventaire et de toutes les lignes d’insertion ». Singular, un fournisseur de mesure mobile (MMP), a analysé ces comportements et relevé des preuves de détournement de clics dans certains réseaux reposant sur des SDK. L’entreprise a également comparé le taux d’activité suspecte avant et après notre publication.

Octobre 2020 : Présentation de Snyk Code, un outil SAST pensé pour les développeurs

Dans notre précédent article, nous avions évoqué en avant-première le nouveau produit SAST de Snyk, pensé pour les développeurs et baptisé Snyk Code. Mais au moment de l’annonce de l’acquisition, même si beaucoup avaient deviné nos intentions, rien n’avait encore été officiellement dévoilé. Lors de la première édition de SnykCon, pendant le discours d’ouverture, Guy Podjarny a présenté le nouveau produit avec la fierté d’un jeune père. « Qu’est-ce que le SAST ? » me direz-vous. Pour beaucoup de développeurs, ce terme n’est pas forcément familier. SAST signifie « Static Application Security Testing » (tests statiques de sécurité des applications) : il s’agit d’un type de test qui permet de détecter les vulnérabilités dans le code de votre application. C’est différent de l’analyse de la composition logicielle, ou SCA, qui repère les vulnérabilités connues dans les dépendances utilisées par votre application. Analyser à la fois le code de votre application et ses dépendances est une approche complémentaire qui permet d’améliorer considérablement la couverture de sécurité globale.

Mais les tests ne doivent pas s’arrêter là, surtout si l’on considère l’architecture et le développement des applications modernes. Si vous créez une application cloud native, vous écrivez probablement aussi des Dockerfiles décrivant le conteneur dans lequel elle sera déployée, ainsi que du code d’infrastructure (IaC) nécessaire au déploiement et à la configuration de son environnement. Les développeurs qui écrivent et maintiennent ce code et ces configurations doivent également en tenir compte. Une véritable plateforme pour les applications cloud natives doit tester non seulement le code de l’application et ses dépendances, mais aussi les dépendances des conteneurs et les paramètres par défaut non sécurisés des scripts d’infrastructure en tant que code. Si cela vous semble décrire votre environnement de développement, découvrez les outils de Snyk, qui couvrent vos besoins de sécurité pour tous ces aspects de vos applications cloud natives.

À LIRE AUSSI : Bilan du troisième trimestre 2020 — Snyk et DeepCode, bonnes pratiques de sécurité Angular et plus encore

Octobre 2020 : récapitulatifs des journées 1 et 2 de SnykCon

Les derniers articles que nous mettons en avant dans ce bilan 2020 sont consacrés à SnykCon. Il s’agit en fait de récapitulatifs, mentionnés dans cet article qui est lui-même un récapitulatif. SnykCon a été l’occasion de nombreuses annonces formidables, dont certaines déjà évoquées, notamment celle de Snyk Code. L’une d’elles nous a particulièrement rendus fiers d’être des Snykers : nous avons annoncé avoir obtenu le statut CarbonNeutral® selon le CarbonNeutral Protocol, la principale norme internationale en matière de développement durable. Grâce à une combinaison de mesures d’efficacité organisationnelle, de projets externes de réduction des émissions et d’investissements dans les énergies renouvelables, nous allons compenser notre empreinte carbone de 2 400 tonnes. Il est essentiel, en cette période, de ne pas se contenter de parler sérieusement des problèmes qui nous touchent tous, mais d’agir concrètement. Je suis heureux de travailler pour une entreprise qui prend ces enjeux au sérieux et qui est officiellement certifiée CarbonNeutral !

De nombreuses fonctionnalités produit intéressantes avaient été ajoutées récemment. L’une d’elles a retenu mon attention et suscite toujours beaucoup d’intérêt chez les développeurs : la détection des Dockerfiles directement dans les dépôts de code source, comme ceux de GitHub. C’est une étape très importante pour favoriser l’adoption des tests de sécurité par les développeurs, en veillant à ce que l’analyse et les tests de sécurité soient accessibles et intégrés à leurs outils.

Autre annonce stratégique majeure, faite conjointement par Peter McKay, PDG de Snyk, et Scott Johnston, PDG de Docker : le partenariat entre les deux entreprises. Ils ont annoncé que Snyk est désormais le fournisseur exclusif d’informations de sécurité pour les images Docker Official et les futurs programmes de certification de contenu. Scott Johnston a expliqué que les informations de sécurité de Snyk constituent un point de contrôle essentiel pour aider les développeurs à vérifier que les images sont bien maintenues et sécurisées.

SnykCon a donné lieu à bien d’autres contenus formidables, tous enregistrés. Je vous encourage vivement à consulter les vidéos disponibles sur le site de Snyk.

Comme dans les précédentes rétrospectives, certains articles n’ont pas été retenus parmi les temps forts, mais ils valent tout de même le détour ! Découvrez notamment la prise en charge de Snyk dans la célèbre plateforme de génération d’applications JHipster. Nous avons également lancé une élégante communauté de développeurs Snyk, accessible à l’adresse https://community.snyk.io. Après notre antisèche sur les bonnes pratiques de sécurité Angular, il nous fallait bien en proposer une pour le framework React ! Enfin, et ce n’est pas le moindre, nous avons mis à jour notre antisèche populaire sur la CLI Snyk, notamment pour y ajouter la prise en charge des conteneurs.

Sur ce, nous vous souhaitons une fin d’année sereine et heureuse. Restez à l’affût des prochains contenus passionnants sur le blog Snyk en 2021 !