Tu prend un npm, un pip, un cargo, un whatever, et tu leur mets un dépôt à l'accès limité, contrôlé, etc... comme les dépôts officiels des distributions, tout de suite les supply-chain attack sont amoindries (pour ne pas dire anéanties, ça reste des humains après tout).
Dans un monde idéal, l'organisation a un dépôt privé dans lequel elle intègre ses dépendances de manière auditée et contrôlée.
A Décathlon par exemple, il y avait un repository Maven interne et une impossibilité d'utilise le repo public. Tu as besoin d'une lib qui est pas dispo ? Tu fais une demande à l'équipe en charge pour auditer la dep et l'intégrer.
Tiens, bizarrement, ils ont pas de supply chain attack. Comme c'est étrange.
DISCLAIMER: Toutes les organisations n'ont pas les moyens de mettre ça en place. Mais qu'on arrête de blamer les gestionnaires de paquets pour les problèmes de sécurités des DÉPÔTS PUBLIC.
# Personne n'est à l'abri
Posté par David Delassus (site web personnel) . En réponse au lien A growing club of broken-by-design package managers. Évalué à 10.
Ah ça sent la pique gratuite à ceux qui râlent que son langage Hare n'a pas de gestionnaire de paquet.
Mais mossieur drew, le problème n'est pas le gestionnaire de paquet, le problème c'est le dépôt communautaire.
Et Linux n'est pas à l'abri : https://www.securityweek.com/arch-linux-aur-repository-compromised (2018)
Tu prend un npm, un pip, un cargo, un whatever, et tu leur mets un dépôt à l'accès limité, contrôlé, etc... comme les dépôts officiels des distributions, tout de suite les supply-chain attack sont amoindries (pour ne pas dire anéanties, ça reste des humains après tout).
Dans un monde idéal, l'organisation a un dépôt privé dans lequel elle intègre ses dépendances de manière auditée et contrôlée.
A Décathlon par exemple, il y avait un repository Maven interne et une impossibilité d'utilise le repo public. Tu as besoin d'une lib qui est pas dispo ? Tu fais une demande à l'équipe en charge pour auditer la dep et l'intégrer.
Tiens, bizarrement, ils ont pas de supply chain attack. Comme c'est étrange.
DISCLAIMER: Toutes les organisations n'ont pas les moyens de mettre ça en place. Mais qu'on arrête de blamer les gestionnaires de paquets pour les problèmes de sécurités des DÉPÔTS PUBLIC.
https://link-society.com - https://kubirds.com - https://github.com/link-society/flowg