TL;DR : L’essentiel
- L’outil open source fast-glob, téléchargé 79 millions de fois par semaine et utilisé par le Département de la Défense américain, repose sur un unique développeur lié à l’entreprise russe Yandex.
- Une enquête universitaire révèle qu’un peu plus de 12% des applications destinées aux militaires américains intègrent du code provenant de pays considérés comme rivaux, incluant des kits publicitaires et de suivi.
- Le gestionnaire de mots de passe Passwork Europe partage une base de code quasi identique et des cycles de mise à jour synchronisés à un jour près avec une entité russe certifiée FSTEC.
La présence de composants logiciels d’origine russe dans des applications sensibles expose les institutions et entreprises à des risques majeurs d’altération de leur chaîne d’approvisionnement numérique. En analysant la provenance des lignes de code intégrées dans les outils du quotidien, les experts en cybersécurité découvrent une interconnexion profonde entre des infrastructures critiques occidentales et des briques logicielles maintenues depuis la Russie.
La présence sous-jacente de briques logicielles dans les systèmes sensibles
Par exemple, l’utilitaire fast-glob, conçu pour rechercher des fichiers selon des motifs précis dans les systèmes Node.js, enregistre plus de 79 millions de téléchargements hebdomadaires. Comme le rapporte The Register, cette brique logicielle utilisée par plus de 5000 projets publics et plus de 30 programmes du Département de la Défense américain est maintenue par un unique développeur basé en Russie chez Yandex. Bien qu’aucun code malveillant n’y soit détecté, l’accès profond accordé au système de fichiers fait craindre des vecteurs d’attaque potentiels par déni de service ou injection.
La problématique touche également le secteur mobile militaire. Selon une étude relayée par Ars Technica, un peu plus de 12% des applications analysées à destination du personnel militaire américain contiennent des composants logiciels développés dans des pays tiers comme la Russie ou la Chine. L’une des applications utilisées pour évaluer les conditions de vie sur les bases intègre le kit logiciel HMS Core de Huawei, tandis que d’autres embarquent le service publicitaire de Yandex.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Sur un échantillon de plus de 220 applications testées, près de 65% intègrent des kits de développement tiers principalement destinés à l’analyse et à la publicité, comme l’explique WIRED. Environ 7% de ces programmes incluent du code provenant directement de nations classées comme adversaires stratégiques. De plus, 40% des applications collectent ou partagent davantage de données de géolocalisation que ce qu’affichent leurs fiches sur les boutiques d’applications.
Point d’Attention
Le conflit hybride actuel soulève de réelles interrogations sur les vulnérabilités potentielles des codes et applications développés sous le drapeau russe. En y regardant de plus près, certains de ces composants sont intégrés dans des gestionnaires de mots de passe européens ou des applications utilisées par les troupes américaines. Le risque zéro n’existe pour personne.
Passwork et le défi de la traçabilité du code source
L’analyse des outils de gestion d’identifiants illustre la complexité d’isoler les flux de développement. D’après les constatations répertoriées par GBHackers, la société Passwork Europe partage une origine de code commune et une documentation similaire avec l’entité russe Passwork LLC. Les chercheurs ont mis en évidence des centaines de lignes rigoureusement identiques au sein des scripts d’installation des deux solutions.
La chaîne de distribution des mises à jour présente une proximité temporelle étroite, illustrée par la publication d’une version en Russie un jour, suivie dès le lendemain par son homologue européenne. Passwork LLC disposant d’une certification délivrée par les autorités étatiques FSTEC et FSB, les experts soulignent le risque d’une analyse de code source préalable par des organismes étatiques tiers, susceptible d’exposer des failles communes.
Face à la prolifération de dépendances imbriquées et d’architectures partagées, la vérification continue des composants logiciels devient un impératif pour la souveraineté numérique occidentale. L’exposition indirecte des données stratégiques rappelle qu’aucun environnement ne peut prétendre à une sécurité absolue sans audit rigoureux des acteurs de sa chaîne d’approvisionnement.
Questions fréquentes sur la sécurité des composants logiciels
Quels sont les risques liés à l’utilisation de briques open source maintenues depuis l’étranger ?
L’absence de contrôle externe sur des bibliothèques populaires peut permettre l’introduction discrète de modifications malveillantes ou de portes dérobées lors de mises à jour. Ces briques ayant souvent un accès direct aux systèmes de fichiers, une compromission peut affecter l’ensemble des projets qui les intègrent.
Comment du code tiers se retrouve-t-il dans des applications sensibles ?
Les développeurs intègrent fréquemment des kits de développement logiciels pour ajouter rapidement des fonctionnalités de suivi, de publicité ou de notification. Ces kits peuvent eux-mêmes inclure des dépendances secondaires créées par des entreprises étrangères sans que le développeur principal n’en ait pleinement conscience.
Pourquoi le partage de base de code entre éditeurs pose-t-il un problème de sécurité ?
Lorsqu’un logiciel partagé est soumis aux processus de certification ou d’inspection d’un État tiers, les failles identifiées à cette occasion peuvent être exploitées. Si la variante européenne s’appuie sur la même structure, elle hérite des mêmes vulnérabilités sans disposer de la même transparence.
Quelles mesures permettent de limiter les risques sur la chaîne d’approvisionnement logicielle ?
Les organisations doivent réaliser des audits indépendants du code source et maintenir une liste détaillée des composants logiciels utilisés.
La mise en place de signatures cryptographiques pour les mises à jour et la vérification de la provenance des dépendances réduisent fortement l’exposition aux attaques indirectes.
Pour approfondir le sujet
Initiative OFCS-Planzer : Sécurisation de la chaîne d'approvisionnement logiciel
La sécurité des chaînes d'approvisionnement est cruciale en cybersécurité. L'OFCS et Planzer Transport SA ont lancé un projet pour aider les entreprises suisses à mieux gérer les cyberrisques logistiques. Lire la suite
Serveurs, API, temps de veille...
DCOD est indépendant et sans revenus. Soutenez le site pour l'aider à couvrir ses frais techniques.
