Pourquoi l'injection SQL est un problème récurrent dans le domaine de la sécurité des applications (et comment les RSSI peuvent y remédier de manière définitive)

Il existe une théorie bien connue selon laquelle les cafards peuvent survivre à tout, y compris à une explosion nucléaire. Cette théorie est en partie vraie, mais en raison de leur constitution simple, ils sont très résistants par rapport à leur taille et difficiles à éradiquer dans la plupart des conditions.

Après réflexion, je me suis dit que dans le monde numérique, l'équivalent des cafards serait sans doute les vulnérabilités SQLi (SQL Injection) dans les codes. Ces vulnérabilités sont connues depuis plus de 20 ans, mais les organisations continuent d'en subir les conséquences. Tout comme les attaques ciblées coûteuses et répandues, elles sont le résultat de l'injection SQL. À la suite du piratage électoral qui a exposé les dossiers de 200 000 électeurs dans l'Illinois, le FBI a recommandé à tous les responsables informatiques de renforcer rapidement leurs pratiques de sécurité.

Selon le rapport 2005-2011 de l'initiative Hacker Intelligence d'Imperva, 83 % de toutes les violations de données signalées entre ces deux années ont été commises à l'aide d'attaques SQLi. Aujourd'hui encore, les vulnérabilités d'injection restent la plus grande menace aux États-Unis. OWASP Top 10. Relativement simple, mais pas à négliger.

Il est surprenant de constater que cette même vulnérabilité continue d'apparaître dans un nombre considérable de tests de sécurité des applications. Nous comprenons parfaitement comment ce problème se produit et nous savons comment l'empêcher. Comment cela est-il possible ? En réalité, la sécurité de nos logiciels présente une marge d'amélioration considérable.

Le rapport sur l'état de la sécurité des logiciels de Veracode, basé sur 400 000 analyses d'applications en 2017, a révélé des statistiques surprenantes. Seulement 30 % des applications ont satisfait aux critères du Top 10 de l'OWASP. Près d'une application nouvellement analysée sur trois présente une injection SQL, ce qui est une constante depuis cinq ans. Cela démontre qu'il s'agit d'un problème récurrent. Nous ne tirons pas les leçons de nos erreurs et les RSSI semblent avoir des difficultés à recruter suffisamment de personnel qualifié en matière de sécurité. En général, le ratio entre les experts en sécurité des applications et les développeurs est de 1 pour 100, ce qui n'est pas suffisant.

Pourquoi la sécurité logicielle est-elle essentielle à la survie ?

Le manque de personnel spécialisé dans la sécurité n'est pas un secret. Cependant, il convient également de noter que les développeurs ne résolvent pas les problèmes lorsqu'ils surviennent et ne sont pas préparés à éviter les vulnérabilités dès le départ.Le même rapport Veracode révèle que seulement 14,4 % des vulnérabilités de développement ont fait l'objet de mesures d'atténuation documentées. En d'autres termes, la plupart des vulnérabilités ont été soumises sans mesures d'atténuation au niveau du développement. Moins d'un tiers des vulnérabilités ont été corrigées au cours des 90 premiers jours, et 42 % des vulnérabilités n'ont pas été résolues pendant la phase de développement.

En tant qu'expert en sécurité, je m'entretiens régulièrement avec des RSSI et des PDG. J'ai constaté que de nombreuses entreprises, en plus des faux positifs, sont tellement préoccupées par le nombre de vulnérabilités impossibles à atténuer qu'elles ont décidé de cesser toute recherche et se contentent d'attendre les meilleurs résultats possibles.

Pourquoi les experts en sécurité des applications ont-ils permis cette situation ?

Veuillez ne pas commettre d'erreur. Les employés d'AppSec connaissent parfaitement les problèmes liés au code. Après tout, c'est l'une des compétences clés qui font d'eux des ressources précieuses pour l'équipe. Cependant, ils rencontrent souvent des difficultés en raison de divers facteurs.

Par exemple, un responsable AppSec identifie un problème et demande au développeur : « Pouvez-vous modifier le code ? ». La réponse à cette question cruciale varie d'une organisation à l'autre, mais en général, les développeurs sont tellement occupés à respecter des sprints de livraison stricts qu'ils n'ont ni le temps ni les outils appropriés pour résoudre ces problèmes. Les experts AppSec peuvent identifier eux-mêmes les vulnérabilités, mais ils ne disposent souvent pas des compétences et/ou des droits d'accès nécessaires pour les résoudre immédiatement.

Il est également important de comprendre que chaque problème nécessite un processus de recherche de solution, de mise en œuvre et de test. Même les problèmes mineurs détectés dans le code peuvent nécessiter un temps considérable pour être résolus, sans parler des ressources nécessaires. Il existe plus de 700 vulnérabilités pouvant être introduites dans un logiciel, et il est impossible pour une seule personne de toutes les contrer. C'est pourquoi la plupart des entreprises se concentrent uniquement sur le Top 10 de l'OWASP. Pendant ce temps, les développeurs continuent à développer des fonctionnalités et ce qui a pour conséquence d'introduire continuellement des vulnérabilités dans le code qu'ils écrivent.

Quelle pourrait être la solution ?

En résumé, nous ne fournissons pas aux développeurs les outils et la formation nécessaires pour favoriser la réussite du codage sécurisé. Il n'existe aucune réglementation obligeant les organisations à exiger de leurs développeurs qu'ils possèdent les compétences appropriées en matière de sécurité. Il est regrettable que la plupart des universités et des programmes de stages ne préparent pas les développeurs juniors à coder de manière sécurisée.

Toute personne souhaitant piloter un avion doit suivre une formation, acquérir de l'expérience pratique, passer un examen médical, acquérir des connaissances en matière de sécurité et se soumettre à des contrôles très stricts avant de pouvoir voler. Personne n'oserait imaginer pouvoir voler sans avoir suivi cette préparation approfondie et sans avoir passé ces tests techniques, mais c'est pourtant ce qui se passe tous les jours dans le domaine de la programmation.

Il est nécessaire de consacrer du temps à former les développeurs à la rédaction de codes sécurisés. Cependant, dans le contexte actuel où le développement logiciel évolue rapidement et où il existe une pénurie de développeurs et de spécialistes en sécurité de haut niveau, cela ne semble pas être une priorité. Il est temps de changer de discours.

Les récentes actualités du Forum économique mondial soulignent que « sans sécurité, l'économie numérique ne peut exister », et affirment que la sécurité est essentielle pour devenir un élément central de toute stratégie d'innovation numérique. « La sécurité protège les entreprises, leur permettant ainsi d'innover et de créer de nouveaux produits et services. La sécurité va au-delà de son rôle défensif et offre aux entreprises un avantage stratégique en matière de croissance. »

En améliorant les compétences et les performances en matière de codage sécurisé, les organisations bénéficient d'une couche de protection cybernétique supplémentaire qui leur permet de créer un code plus rapide et de meilleure qualité. Les développeurs n'ont pas besoin de devenir des experts en sécurité, mais ils doivent disposer de pouvoirs actifs et concrets pour constituer la première ligne de défense contre les cyberattaques. Les développeurs peuvent devenir les héros de la sécurité et de l'innovation de la prochaine génération. Ce sont des personnes très intelligentes, qui résolvent les problèmes de manière créative et généralement passionnés par le perfectionnement de leurs compétences. Donnez-leur les moyens de tirer parti de leurs atouts et de respecter des normes de sécurité logicielle plus élevées en leur offrant la formation spécialisée qu'ils méritent. Consultez le livre blanc pour en savoir plus.

Toute personne souhaitant piloter un avion doit suivre une formation, acquérir de l'expérience pratique, passer un examen médical, acquérir des connaissances en matière de sécurité et se soumettre à des contrôles très stricts avant de pouvoir voler. Personne n'oserait imaginer pouvoir voler sans avoir suivi cette préparation approfondie et sans avoir passé ces tests techniques, mais c'est pourtant ce qui se passe tous les jours dans le domaine de la programmation.