Développement logiciel sécurisé : les 10 meilleures pratiques

Les meilleures pratiques de sécurité des développeurs font de la sécurité la responsabilité de tous et fournissent un environnement de développement logiciel sécurisé, depuis la création de l'application jusqu'à son déploiement.

Qu'est-ce qu'un cycle de développement logiciel sécurisé ?

Le SSDLC (Secure Software Development Lifecycle) est un processus systématique en plusieurs étapes qui intègre la sécurité au fur et à mesure du développement logiciel, de la planification au déploiement et au-delà.

La sécurisation du cycle de développement logiciel permet aux développeurs de recueillir les exigences de sécurité en même temps que les exigences fonctionnelles.

Le SSDLC encourage les développeurs à effectuer une analyse des risques pendant la phase de conception et à réaliser des tests de sécurité parallèlement au processus de développement. Il aide les organisations à garantir et à maintenir l'intégrité, la confidentialité, la disponibilité et la qualité globale de l'application.

L'idée principale du développement de logiciels sécurisés est de donner la priorité à la sécurité en tant que partie intégrante du développement. Elle est intégrée à la phase de planification ainsi qu'au code logiciel, mais elle devient partie intégrante du projet bien avant qu'une seule ligne de code ne soit écrite.

Voici comment un SDLC sécurisé peut profiter à une entreprise :

> Détection des failles de sécurité à un stade précoce afin de pouvoir les éliminer à temps (shift-left). Plus l'organisation découvre et élimine rapidement les failles de sécurité dans son processus de développement, plus son produit fini sera sûr.

> Réduction du volume d'heures consacrées au développement, ce qui peut ainsi réduire le coût.

> Élimination des erreurs de conception avant même qu'elles ne soient intégrées au code.

> Encouragement des parties prenantes à s'investir davantage en les aidant à comprendre l'importance des méthodologies sécurisées.

Pourquoi les développeurs ignorent-ils des étapes de sécurité ?

Bien que le développement de logiciels sécurisés soit essentiel, il existe plusieurs raisons pour lesquelles les développeurs n'en tiennent pas compte, et en voici raisons les plus courantes.

Manque de ressources et de temps

Lorsque les développeurs doivent respecter des délais serrés, ils peuvent sauter des étapes de sécurité importantes. Selon une étude récentes, 67 % des développeurs ne traitent pas les vulnérabilités de leur code, et le manque de temps en est l'une des principales raisons.

Si un responsable comprend l'importance du développement de logiciels sécurisés et est prêt à investir dans différents outils de sécurité, il doit également se rendre compte que cela nécessitera des ressources et du temps supplémentaires.

Par exemple, s'il n'y a qu'un seul développeur pour écrire le code d'un simple formulaire, cela lui prendra quelques minutes. Cependant, le même formulaire prendra plus de temps et pourrait également nécessiter un développeur supplémentaire s'il veut assurer une protection contre le cross-site scripting.

Il ne sera pas possible pour un seul développeur d'écrire ce formulaire avec des routines de protection en quelques minutes. Il sautera l'étape de la protection s'il doit livrer le formulaire dans un délai très court.

Manque de formation

Tous les développeurs n'ont pas les mêmes qualifications et leur façon d'écrire le code diffère également.  Il est donc possible que dans une équipe de développeurs, certaines personnes ne considèrent pas la sécurité comme une priorité absolue du processus de développement.

Sécurité et silos de développement

De nombreux responsables pensent que la sécurité dans le développement de logiciels est quelque chose qui doit être géré par une équipe spécialisée. Cela peut être vrai dans certains cas, mais en général, ce n'est pas le meilleur choix en matière de développement sécurisé.

En raison de cette idée fausse, de nombreuses organisations finissent par créer une équipe de cybersécurité dédiée qui travaille séparément et ne communique pas correctement avec les développeurs. En conséquence, les vulnérabilités de sécurité sont intégrées dans le code et sont découvertes des semaines (voire des mois) plus tard. Non seulement cela rend le système faible, en termes de sécurité, mais cela ralentit également le processus de développement.

Il est important d'avoir à l'esprit qu'une entreprise peut avoir des équipes de sécurité et de développement distinctes, mais elles ne doivent pas non plus travailler en silos. Ces dernières doivent travailler en collaboration et communiquer entre elles.

Ne pas considérer la sécurité comme une priorité absolue Selon une étude récente, 86 % des développeurs ne considèrent pas la sécurité comme une priorité absolue. Ce chiffre alarmant suggère que la plupart des organisations ne donnent pas la priorité aux pratiques de développement sécurisées.

Principales pratiques de développement sécurisé

Une fois l'importance du développement de logiciels sécurisés et les raisons pour lesquelles les développeurs ne s'en préoccupent pas, évoqués, il est temps de discuter des principales pratiques de sécurité à suivre par les développeurs.

1. Considérer la sécurité logicielle comme une priorité dès le départ

Comme précisé précédemment, il est important de prioriser la sécurité et de l'intégrer dans le cycle de développement logiciel du début à la fin.

Il est nécessaire de s'assurer de bien suivre les techniques du cycle de vie du développement logiciel sécurisé. Cela signifie qu'il faut évaluer la sécurité pendant les phases de planification, de conception, de développement, de correction des bugs, de maintenance et de fin de projet.

Des actions minimes peuvent contribuer à rendre le SDLC plus sûr : en envisageant, par exemple, d'encourager les développeurs à utiliser des hooks de pré-commit pour éviter que des secrets ne soient publiés dans les dépôts de code source.

2. Définir les exigences de sécurité du projet

Toutes les lacunes et faiblesses potentielles en matière de sécurité doivent être identifiées pour définir les exigences de sécurité d'un projet avant le début du développement. Voici quelques conseils :

> Utiliser une conception logicielle sécurisée multi-core pour tenir compte des interactions inconnues et imprévues entre les processus et les threads.

> Améliorer la capacité du système à résister aux défaillances intentionnelles et/ou non intentionnelles. Par exemple, les cybercriminels créent souvent des attaques basées sur la surcharge d'un système à l'aide de fausses requêtes pour le rendre indisponible.

> Prévoir une hiérarchie des droits des utilisateurs (rôles de projet) afin que chaque personne puisse avoir un accès limité en fonction de ses responsabilités.

> Fixer des contraintes sur le fonctionnement et le comportement des différents processus. Cela aidera à faire en sorte que les pirates n'interfèrent pas avec l'ensemble du système et ne causent pas de graves dommages, même s'ils essaient d'en prendre le contrôle.

3. Identifier les menaces potentielles pour la sécurité

Travailler avec l'équipe de développement pour identifier les menaces de sécurité potentielles associées aux outils utilisés est indispensable. Cette étape doit avoir lieu avant que l'équipe ne commence le processus de développement.

Il faut adopter un état d'esprit défensif lors de l'écriture du code et effectuer des tests unitaires pour chaque sujet de préoccupation. En outre, les organisations doivent veiller à ce que ses développeurs revoient le code chaque fois qu'ils apportent des modifications afin de déterminer s'il a introduit de nouvelles failles de sécurité.

4. Disposer de directives et de normes de codage sécurisé

Pour un environnement de développement logiciel sécurisé, chaque organisation devrait disposer de son propre ensemble de directives de codage sécurisé. Les directives de codage sécurisé varieront en fonction des exigences du projet. Toutefois, l'objectif principal de ces directives restera le même, à savoir protéger tous les types de données.

Toutes les données, qu'elles soient en transit ou au repos, doivent être protégées. Cela inclut les cookies, les sessions, le stockage des fichiers et le stockage des bases de données. Une entreprise peut utiliser des services de cryptage pour chiffrer les données afin d'assurer leur protection.

Il ne faut pas oublier que les canaux de communication des équipes internes sont également une cible attrayante pour les acteurs malveillants, et qu'elles doivent être sécurisés également pour atténuer le risque de violation des données.

La meilleure façon de créer des directives de codage sécurisé est de suivre les normes de sécurité. Ces normes sont conçues pour aider les organisations à promouvoir de meilleurs principes de conception. Voici quelques-unes des normes de sécurité à utiliser :

OWASP et OWASP SAMM

> OWASP, qui signifie « open web application security project », est une norme qui fournit aux développeurs une liste d'exigences en matière de développement sécurisé, ainsi qu'une base solide pour tester la sécurité des applications Web.

OWASP SAMM (Software Assurance Maturity Model) est un outil qui aide les organisations à adapter les opérations de sécurité à leur profil de risque.

NIST (National Institute of Standards and Technology) SSDF

> Le SSDF (Secure Software Development Framework) du NIST est un ensemble défini de règles de développement sécurisé basé sur des pratiques éprouvées, décrites par des organisations axées sur la sécurité, telles que l'OWASP.

Le cadre de développement de logiciels sécurisés du NIST décompose le cycle de vie du développement de logiciels en quatre catégories différentes, énumérées ci-dessous :

> Préparation de l'organisation : s'assurer que toutes les technologies, tous les processus et toutes les personnes de l'organisation sont bien préparés au développement sécurisé, au sein des équipes de développement et au niveau de l'organisation.

> Protéger les logiciels : assurer la protection de tous les composants logiciels contre les accès non autorisés et les manipulations.

> Développer des solutions entièrement sécurisées : développer et publier des solutions présentant un minimum de failles de sécurité.

> Répondre aux vulnérabilités : identifier et traiter les vulnérabilités de sécurité dans les logiciels et s'assurer qu'elles ne se reproduisent pas dans les prochaines versions.

5. Utiliser des frameworks et des bibliothèques à jour

Les organisations doivent utiliser différents types de frameworks et de bibliothèques pour développer des solutions logicielles. Il est important de sélectionner des frameworks et des bibliothèques bien établis, bien entretenus et fiables, car ils sont susceptibles de présenter moins de failles de sécurité que les nouveaux venus.

Ces organisations peuvent bénéficier d'une détection précoce des bugs lorsqu'elles utilisent des composants logiciels libres, et ainsi mieux contrôler la sécurité des logiciels. En outre, l'utilisation de bibliothèques sécurisées peut également contribuer à limiter la surface d'attaque du système.

Les développeurs doivent étudier attentivement la réputation d'un framework ou d'une bibliothèque avant de l'intégrer au système. Le mieux est de soumettre chaque nouvel ajout à une approbation humaine. Le fait de disposer d'un registre de composants logiciels bien tenu permet de contrôler tous les outils tiers utilisés.

6. Organiser des formations de sensibilisation à la sécurité

Une équipe de développement logiciel doit comprendre tous les défis de sécurité auxquels elle peut être confrontée au cours du processus de développement. Il serait utile qu'elle soit sensibilisée aux attaques de sécurité courantes liées au développement de logiciels, en particulier celles qui sont associées au domaine de l'organisation.

Si les développeurs savent comment les cybercriminels et les pirates informatiques travaillent, ils sont alors en mesure d'éviter les pratiques de codage qui peuvent être exploitées. Il est donc important d'organiser des réunions fréquentes où toutes les équipes peuvent communiquer entre elles pour discuter des techniques de développement sécurisé. Ces réunions les aideront à comprendre comment écrire un code capable de résister aux cyberattaques.

7. Sécuriser l'accès aux bases de données

La ou les bases de données sont l'une des parties les plus précieuses et les plus critiques de tout système logiciel, elles doivent être configurées et protégées correctement. Les entreprises doivent s'assurer qu'aucune fuite de données ou accès non autorisé n'est possible par le biais de failles négligées situées dans le système.

8. Mettre en oeuvre l'identité numérique de l'utilisateur

La mise en oeuvre de l'identité numérique de l'utilisateur permet de limiter l'accès aux différents utilisateurs/développeurs afin qu'ils ne puissent accéder qu'à ce dont ils ont besoin pour accomplir leur travail.

Par exemple, si un développeur travaille sur GitHub et que des utilisateurs ont un accès non sécurisé ou non restreint à son dépôt (et les erreurs sont plus fréquentes que vous ne le pensez !), celui-ci doit s'attendre à des failles de sécurité. Il doit s'assurer de mettre en place un mécanisme d'identité numérique des utilisateurs pour garantir un accès sécurisé, et une révision régulière est conseillée.

9. Gérer les erreurs et les exceptions dans tous les domaines

Le traitement des exceptions et des erreurs est essentiel pour assurer la pérennité du système. Cela permettra à l'entreprise de déterminer comment son logiciel réagira à des situations imprévisibles et de créer des processus qui empêcheront le système de tomber en panne.

10. Surveiller les informations de sécurité

La journalisation des informations de sécurité est essentielle pour garder une trace des comportements inhabituels de sa solution. Non seulement elle aidera à détecter les incidents de sécurité, mais elle fournira également des données pertinentes sur les comportements suspects du système. Ainsi, l'entreprise sera en mesure de traiter le problème avant qu'il ne se transforme en une véritable violation de données.

Le développement de logiciels sécurisés va au-delà de l'écriture d'un code sécurisé. Il couvre tout, de la conception du logiciel à sa livraison. Les entreprises doivent adopter une approche globale pour intégrer les pratiques de développement sécurisé dans leur flux de travail quotidien.

Cela aidera à faire de la sécurité la responsabilité de tous, afin qu'elle fasse partie intégrante du travail de chacun, en lien avec le processus de développement logiciel.

Thomas Segura, - GitGuardian.