Renforcer la sécurité des applications Java contre les menaces de la chaîne d'approvisionnement

La chaîne d'approvisionnement logicielle est super importante pour développer des applis aujourd'hui, mais ça amène aussi des risques. Beaucoup de développeurs utilisent des bibliothèques tierces, ce qui peut créer des problèmes de sécurité. Si ces bibliothèques ont des failles, elles peuvent être exploitées par des attaquants. Un des attaques les plus connues s'appelle Log4Shell, qui a permis à du code malveillant de s'exécuter sur le serveur. Cet article parle d'un nouveau système qui aide à prévenir ces attaques dans les applications Java.

#Le Problème

Avec la croissance du développement logiciel, la dépendance au code externe a augmenté. Ça introduit des vulnérabilités, surtout quand du code non vérifié est exécuté. Beaucoup d'attaques récentes ont visé cette faiblesse, exploitant des failles dans des bibliothèques populaires pour exécuter des commandes nuisibles à distance. Les méthodes de sécurité traditionnelles peuvent repérer ces problèmes pendant le développement, mais échouent souvent à protéger pendant l'exécution.

#La Solution

Notre système proposé crée une liste autorisée de classes qui peuvent s'exécuter dans une application Java. Cette liste est faite sur la base de la chaîne d'approvisionnement logicielle de l'appli. En s'assurant que seules les classes de confiance sont exécutées, le système peut bloquer toutes les classes non reconnues ou modifiées pendant l'exécution.

#Comment ça Marche

#Création de la Liste Autorisée

Pendant la phase de construction d'une appli, le système analyse toutes les classes, créant une liste appelée Index de la Liste des Matériaux (BOMI). Cette liste inclut des classes des bibliothèques Java de base, des classes écrites par des développeurs et toutes les classes générées dynamiquement.

1. Classes de l'Environnement : Ce sont des classes Java intégrées. Le système enregistre les sommes de contrôle pour ces classes, qui servent d'identifiants uniques.

2. Classes de la Chaîne d'Approvisionnement : Ces classes viennent de bibliothèques tierces. Le système fait l'inventaire de toutes les bibliothèques et de leurs classes pour créer une liste complète.

3. Classes Dynamiques : Java permet de générer des classes pendant que l'appli s'exécute. Le système surveille l'appli pendant les tests pour enregistrer toutes les classes créées dynamiquement.

#Surveillance en Temps Réel

Une fois le BOMI créé, l'appli peut être surveillée pendant l'exécution. Un composant appelé le SBOM Runtime Watchdog est activé. Il vérifie chaque classe chargée par rapport au BOMI.

• Si la classe est dans le BOMI et que la somme de contrôle correspond, elle peut s'exécuter.
• Si la classe n'est pas trouvée ou si la somme de contrôle ne correspond pas, l'appli est immédiatement arrêtée. Ça empêche tout code potentiellement nuisible de s'exécuter.

#Pourquoi C'est Important

Ce système répond directement à un problème critique : la capacité d'exécuter des classes inconnues. En maintenant une liste autorisée stricte et en surveillant le chargement des classes, le système peut réduire efficacement le risque posé par les fonctionnalités de chargement de classes dynamiques en Java.

#Tester le Système

Pour valider l'efficacité de notre système, nous l'avons testé contre trois vulnérabilités significatives connues dans le paysage de la sécurité.

1. Log4j : La vulnérabilité Log4Shell a montré comment des attaquants pouvaient exécuter un code malveillant via une bibliothèque de logging. Notre système a réussi à empêcher l'exécution de ce code malveillant en le comparant au BOMI.

2. Base de Données H2 : Ce moteur de base de données était aussi vulnérable à des attaques similaires. Nous avons reproduit les conditions d'un potentiel exploit et notre système a de nouveau empêché tout code nuisible de s'exécuter.

3. Configuration Apache Commons : En utilisant le moteur JavaScript Nashorn, qui était intégré avec Java, cette vulnérabilité a montré comment du code JavaScript pouvait mener à de graves problèmes de sécurité. Notre système a efficacement intercepté le code malveillant avant qu'il ne puisse s'exécuter.

#Applicabilité dans le Monde Réel

Nous avons aussi évalué notre système sur des applications réelles pour mesurer son impact et sa performance. Nous avons testé sa compatibilité avec des logiciels existants, en visant à nous assurer qu'il n'interfère pas avec des opérations légitimes.

1. PDFBox : Cette appli manipule des fichiers PDF et a été testée sous une charge de travail impliquant diverses opérations PDF. Notre système a fonctionné sans faux positifs, identifiant et permettant avec succès les opérations légitimes.

2. Ttorrent : Une appli de téléchargement en peer-to-peer a été évaluée, gérant avec succès la génération de classes dynamiques sans interruptions.

3. GraphHopper : Cette appli de routage a été plus difficile, révélant que certaines classes générées dynamiquement ne pouvaient pas être capturées à cause de leur nature aléatoire. Néanmoins, le système a réussi à bloquer efficacement le code non autorisé.

#Considérations de Performance

Un aspect clé de tout système de sécurité est son impact sur la performance. Nous avons mesuré l'overhead introduit par notre système pendant les opérations :

• Pendant le démarrage initial et la vérification des classes, il y a un overhead noticeable à cause des processus de validation et de somme de contrôle.
• Cependant, après le premier échauffement, l'impact sur la performance devient minimal, ce qui le rend adapté pour des applications à long terme.

#Conclusion

L'intégration de notre système dans les applications Java améliore significativement la sécurité contre les attaques de la chaîne d'approvisionnement qui exploitent l'exécution de code dynamique. En créant un BOMI détaillé et en surveillant activement le chargement des classes, nous pouvons efficacement assurer l'intégrité des applications Java dans un paysage logiciel complexe.

#Directions Futures

En regardant vers l'avenir, nous visons à étendre les capacités de notre système, en nous concentrant sur la détection de classes cachées que les méthodologies actuelles peuvent négliger. Nous prévoyons aussi d'explorer des comparaisons avec d'autres technologies qui traitent de préoccupations de sécurité similaires. Globalement, notre approche pose une base solide pour améliorer la sécurité des logiciels face à des menaces en évolution.