TP : Sécuriser le pipeline : secrets, vulnérabilités, SBOM et signature

Ce que vous allez apprendre dans ce TP

• Détecter secrets et vulnérabilités
• Produire une SBOM
• Signer et vérifier une image

Introduction #

Ce que vous allez apprendre dans cette section

• Détecter secrets et vulnérabilités
• Produire une SBOM
• Signer et vérifier une image

Contexte. Un audit révèle qu'aucun contrôle de sécurité n'est automatisé. Vous ajoutez à la chaîne de livraison les contrôles DevSecOps essentiels, en local d'abord, puis dans le pipeline.

Prérequis : Docker et Git installés sur votre poste  ·  Durée estimée : 50 min

Une image analysée, inventoriée et signée, et un pipeline qui bloque les risques critiques.

Mise en place #

Étapes guidées, avec leur correction.

1. 1. Détecter un secret commité

   Pourquoi ? Un secret dans l'historique Git reste exploitable même après suppression du fichier.

   Créez un dépôt, commitez puis supprimez un fichier contenant une fausse clé AWS, et analysez l'historique avec Gitleaks.

2. 2. Analyser les dépendances

   Pourquoi ? La plupart des vulnérabilités viennent des bibliothèques, pas du code écrit par l'équipe.

   Déclarez une dépendance ancienne dans requirements.txt et analysez le projet avec Trivy en mode système de fichiers, en échouant sur HIGH et CRITICAL.

3. 3. Construire et analyser l'image

   Pourquoi ? L'image embarque aussi les paquets du système de base, souvent la première source de CVE.

   Démarrez un registre local, construisez une image minimale, poussez-la et analysez-la avec Trivy.

4. 4. Produire une SBOM

   Pourquoi ? La SBOM permet de répondre en minutes à « sommes-nous concernés par cette nouvelle faille ? ».

   Générez la SBOM SPDX de l'image avec Syft, cherchez la version de requests qu'elle contient, puis analysez la SBOM avec Trivy.

5. 5. Signer et vérifier l'image

   Pourquoi ? La signature prouve que l'image vient de votre pipeline et n'a pas été modifiée ; on signe le digest, jamais un tag.

   Générez une paire de clés Cosign, signez l'image par son digest (registre local, sans journal de transparence), vérifiez la signature, puis montrez qu'une autre image n'est pas vérifiable.

6. 6. Intégrer au pipeline

   Pourquoi ? Les contrôles n'ont de valeur que s'ils s'exécutent à chaque changement.

   Ajoutez au workflow GitHub Actions du TP CI/CD un job de sécurité (Gitleaks, Trivy) et, après la publication, la SBOM et une signature sans clé (OIDC). Nettoyez ensuite le registre local.

Niveau de difficulté : ●●●○○ (3/5)