Support technique
Documentation
Connexion
Nous contacter
Sécurisé avant même d'entrer dans votre pile – en continu jusqu'à la date de fin de vie.
Tous les avantages pour l'écosystème. Sans aucune confiance aveugle.
SecureChain pour les logiciels libres
Référentiels de modules Go renforcés : fiables dès leur téléchargement, analysés pour détecter les logiciels malveillants et protégés tant qu'ils restent dans votre pile
SecureChain remplace les référentiels publics de modules Go par une alternative vérifiée et recompilée à partir du code source. Il vérifie chaque module au moment de son téléchargement, assure une correction continue des vulnérabilités et protège les dépendances bien après l'arrêt de l'activité en amont.
Couverture de l'ensemble des écosystèmes qui sous-tendent les piles de production actuelles
La simplicité de Go masque les risques liés à la chaîne d'approvisionnement
Les référentiels de modules Go sont conçus pour être simples et rapides.
Mais cette simplicité repose en grande partie sur une confiance partagée.
Les dépôts publics, les sources VCS et les serveurs intermédiaires constituent tous des vecteurs d'attaque potentiels.
Sources dispersées. Risque persistant.
-
Abus du cache proxy du module Go
Une fois téléchargés, les modules malveillants persistent indéfiniment dans le cache du proxy de modules Go, exploitant ainsi cette même immuabilité qui garantit la reproductibilité des compilations.
-
Repojacking
Des noms d'utilisateur GitHub abandonnés sont récupérés par des pirates, qui prennent alors le contrôle de l'espace de noms du module et injectent du code malveillant via un chemin d'importation de confiance.
Au Go, la confiance doit être vérifiée, et non présumée.
Comment le risque s'introduit dans vos dépendances Go
Le risque est directement lié à la manière dont les modules sont récupérés et gérés.
À aller chercher et chaque extraction de version
Chaque appel « go get » récupère du code provenant de sources externes.
Cette chaîne peut être modifiée.
- Référentiels altérés
- Modules malveillants
- Sources non vérifiées
- Code injecté
Tout ce qui se passe une fois la maintenance terminée
Chaque appel « go get » récupère du code provenant de sources externes.
Cette chaîne peut être modifiée.
- Les dispositifs de retenue se débloquent
- Les vulnérabilités apparaissent au fil du temps
Vos produits binaires ne changent pas, mais leur profil de risque, lui, évolue.
La sécurité de Go s'arrête à l'analyse.
Ce qui se passe ensuite ne dépend que de vous.
Jusqu'à l'arrivée de SecureChain.
SecureChain se distingue par le fait qu'il ne s'agit pas d'un simple service de conseil, mais d'une solution active.
Et cela ne s'arrête pas quand le responsable cesse ses activités.
pour les logiciels libres
Sécurité tout au long du cycle de vie des modules Go
Dès l'instant où vous ajoutez un module – et bien après que les responsables aient cessé de le maintenir.
Cycle de vie d'un paquet
Adopter
Construire et livrer
Exploiter
Fin de vie
Couverture maintenue bien après la fin de la maintenance
Sécurité sans rendez-vous :
Rien ne change pour vos développeurs
Configurez votre gestionnaire de référentiels – ou votre gestionnaire de paquets directement – pour qu'il pointe vers
SecureChain et continuez à travailler.
Mêmes paquets, mêmes API, même flux de travail.
Compatible avec :
JFrog Artifactory
Sonatype Nexus
GitHub Packages
Sécurisez vos paquets Go à chaque étape
Demandez-nous comment SecureChain vérifie les paquets lors de l'installation, corrige les vulnérabilités en continu et protège vos dépendances bien après la fin de la maintenance.
Une question ?
La rapidité et la flexibilité de l'open source,l'
e sans les risques.
Avec SecureChain, chaque colis est :
Remis à neuf et contrôlé
Chaque paquet est recompilé à partir du code source dans des environnements sécurisés et isolés : pas de binaires hérités, pas d'artefacts opaques provenant de l'amont. Ce que vous installez correspond exactement à ce qui a été compilé et vérifié de bout en bout.
Vérifié contre les logiciels malveillants
Chaque paquet est analysé à la recherche de logiciels malveillants connus, de modèles de code suspects et de risques liés à la chaîne d'approvisionnement. Tout élément qui ne passe pas l'inspection est bloqué avant d'atteindre votre environnement.
Mise à jour en continu
Les composants actifs sont surveillés et corrigés dans le cadre du SLA dès l'apparition de CVE. Lorsque la maintenance en amont prend fin, le service Endless Lifecycle Support (ELS) continue de fournir des correctifs tant que vous utilisez le paquet.
Conforme et prêt pour un audit
Sachez exactement quels logiciels sont en cours d'exécution et lesquels ont été mis à jour. La traçabilité SLSA de niveau 3, la SBOM et VEX garantissent une assurance totale de la chaîne d'approvisionnement : les preuves dont vos auditeurs ont besoin, à tout moment.
+ Couverture à la demande
Si un paquet dont vous avez besoin ne figure pas encore dans le catalogue, nous l'ajouterons sur
sans frais supplémentaires : il sera vérifié, corrigé et pris en charge comme tous les autres.
Conçu pour les équipes qui assument les risques :
Sécurité et DevSecOps (
)
Vérification des composants lors de l'installation, protection continue par la suite. Aucune lacune tout au long du cycle de vie.
Direction de l'ingénierie et de l'
Aucun changement dans le flux de travail. Aucune réécriture imposée lorsque les dépendances arrivent en fin de vie.
Conformité,
s et GRC
SBOM intégrées, VEX, traçabilité et couverture des correctifs : une conception prête pour l'audit.
Pourquoi TuxCare ?
Approuvé par les innovateurs du monde entier
Foire aux questions
Non. Les sommes de contrôle Go garantissent la cohérence, mais pas la sécurité. Elles confirment que le code n'a pas été modifié depuis sa publication, mais ne prouvent pas que le module est sécurisé ou exempt de comportements malveillants. SecureChain vérifie et analyse les modules Go avant leur livraison, contribuant ainsi à garantir à la fois la cohérence et la sécurité.
Oui. Les modules Go peuvent contenir du code malveillant dans les fonctions `init()` ou des comportements conditionnels qui ne s'activent que dans certains environnements, ce qui rend leur détection difficile. SecureChain détecte et bloque ces menaces avant qu'elles n'atteignent vos builds.
Souvent plus volumineux que prévu. Même les services Go les plus simples peuvent faire appel à des dizaines de modules indirects, chacun représentant un risque potentiel. SecureChain sécurise l'ensemble du graphe de dépendances Go, garantissant ainsi que chaque module est vérifié et protégé.
La validation par somme de contrôle ne suffit pas. SecureChain vérifie les modules Go avant leur utilisation, bloque ceux qui sont malveillants et corrige en continu les vulnérabilités, offrant ainsi aux équipes de production une chaîne d'approvisionnement sécurisée en dépendances.
Non. SecureChain surveille les CVE et la base de données des vulnérabilités Go, puis fournit des correctifs validés adaptés à vos versions actuelles.
Le risque augmente avec le temps. SecureChain continue de fournir des correctifs grâce à son service « Endless Lifecycle Support », ce qui vous permet de rester protégé sans avoir à effectuer de mises à niveau ni de refactorisation.
Non. SecureChain s'intègre aux configurations existantes de Go Modules sans modifier les flux de travail des développeurs. Les commandes Go Modules continuent de fonctionner comme aujourd'hui.
