June 30, 2023 6:00 PM (GMT+2) - GEOFFREY SAUVAGEOT-BERLAND - ARCHIDOTE

Docker est aujourd’hui un outil de conteneurisation incontournable, largement adopté dans le développement logiciel. Cette expansion a souligné l’importance de sécuriser tous les composants associés, comme le registre privé Docker. Alternative au Docker Hub public, c’est une plateforme open-source où les développeurs peuvent stocker, gérer et distribuer leurs applications localement. Hélas, la documentation officielle et de nombreux articles en ligne ne sensibilisent pas suffisamment les utilisateurs à la nécessité de sécuriser le registre dès sa mise en place. En effet, sa configuration par défaut est vulnérable, car elle permet notamment un accès anonyme sans contrôle d’accès. Cette étude expose donc une Supply Chain Attack qui vise une application hébergée sur un registre privé Docker, dans le but de compromettre son cycle de développement. Enfin, des contre-mesures seront présentées pour atténuer cette menace.