{"id":149308,"date":"2025-02-24T07:00:00","date_gmt":"2025-02-24T06:00:00","guid":{"rendered":"http:\/\/e3mag.com\/?p=149308"},"modified":"2025-02-24T09:21:01","modified_gmt":"2025-02-24T08:21:01","slug":"developpeur-sap-chef-de-la-defense-au-lieu-de-probleme-de-securite","status":"publish","type":"post","link":"https:\/\/e3mag.com\/fr\/developpeur-sap-chef-de-la-defense-au-lieu-de-probleme-de-securite\/","title":{"rendered":"D\u00e9veloppeurs SAP : chef de la d\u00e9fense plut\u00f4t que probl\u00e8me de s\u00e9curit\u00e9 ?"},"content":{"rendered":"

Les d\u00e9veloppeurs SAP travaillent dans des environnements int\u00e9gr\u00e9s critiques pour l'entreprise et cr\u00e9ent des logiciels qui traitent des donn\u00e9es avec des caract\u00e9ristiques de s\u00e9curit\u00e9 et des exigences r\u00e9glementaires sp\u00e9cifiques.<\/p>\n\n\n\n

R\u00f4le essentiel des d\u00e9veloppeurs<\/h2>\n\n\n\n

Les d\u00e9veloppeurs SAP jouent un r\u00f4le majeur dans la conception du paysage de s\u00e9curit\u00e9 des environnements SAP. Le d\u00e9veloppement du code relatif aux modifications apport\u00e9es aux fonctions SAP existantes ou aux nouvelles applications et interfaces peut constituer un projet de d\u00e9veloppement informatique aussi complexe que souhait\u00e9. Ces adaptations sont souvent n\u00e9cessaires, mais elles peuvent comporter des vuln\u00e9rabilit\u00e9s et r\u00e9duire le niveau de s\u00e9curit\u00e9 de l'ensemble du syst\u00e8me.<\/p>\n\n\n\n


De nombreuses failles de s\u00e9curit\u00e9 dans l'environnement SAP sont dues \u00e0 un manque d'exigences, \u00e0 des d\u00e9cisions erron\u00e9es dans la conception du logiciel et le choix des outils et \u00e0 un manque de connaissances sur les pratiques de programmation s\u00e9curis\u00e9es avec les langages de programmation et les frameworks utilis\u00e9s. Ce faisant, les d\u00e9veloppeurs cr\u00e9ent sans le savoir plusieurs vuln\u00e9rabilit\u00e9s telles que des travers\u00e9es de r\u00e9pertoire, des vuln\u00e9rabilit\u00e9s de cross-site scripting ou des erreurs dans le contr\u00f4le d'acc\u00e8s. Une seule faille peut exposer des donn\u00e9es commerciales sensibles ou permettre la compromission du syst\u00e8me par un attaquant. En l'\u00e9tat actuel des choses, les d\u00e9veloppeurs g\u00e9n\u00e8rent de nouveaux risques de s\u00e9curit\u00e9 en plus de l'utilit\u00e9 de leur travail. Les d\u00e9veloppeurs disposent d'autorisations \u00e9tendues. Avec des droits d'acc\u00e8s \u00e9tendus, les d\u00e9veloppeurs peuvent, par inadvertance ou par malveillance, introduire des portes d\u00e9rob\u00e9es, manipuler des donn\u00e9es critiques ou contourner les contr\u00f4les de s\u00e9curit\u00e9. Les listes de contr\u00f4le pour la v\u00e9rification des autorisations de transport ne comprennent souvent pas, \u00e0 ce jour, de v\u00e9rification des d\u00e9fauts de s\u00e9curit\u00e9 ou des logiciels malveillants.<\/p>\n\n\n\n

Si aucune s\u00e9paration des t\u00e2ches n'est impos\u00e9e et que les d\u00e9veloppeurs ont librement acc\u00e8s aux environnements de d\u00e9veloppement, de test et de production, le piratage de ces acc\u00e8s est particuli\u00e8rement int\u00e9ressant pour les attaquants. En dehors du monde SAP, le profil d'un d\u00e9veloppeur SAP serait qualifi\u00e9 de d\u00e9veloppeur \"full stack\". Ce terme, qui se distingue du frontend et du backend, d\u00e9signe les programmeurs qui r\u00e9alisent une application de mani\u00e8re autonome, de l'interface utilisateur \u00e0 la logique commerciale en passant par les int\u00e9grations, en utilisant la pile technologique disponible.<\/p>\n\n\n\n

En combinaison avec leur connaissance des processus, les d\u00e9veloppeurs SAP livrent quotidiennement des milliers d'extensions et d'adaptations avec la bo\u00eete \u00e0 outils SAP, offrant ainsi aux clients SAP un \u00e9norme potentiel d'innovation et un avantage concurrentiel. La bo\u00eete \u00e0 outils propos\u00e9e par SAP est de plus en plus grande et on attend souvent des d\u00e9veloppeurs SAP qu'ils ma\u00eetrisent le clavier, de la maintenance d'une application SAP GUI existante \u00e0 l'utilisation d'\u00e9l\u00e9ments Fiori et tout ce qui se trouve entre les deux. Chacun de ces claviers poss\u00e8de des caract\u00e9ristiques de s\u00e9curit\u00e9 individuelles que le d\u00e9veloppeur SAP doit prendre en compte lors de leur utilisation afin d'\u00e9viter les vuln\u00e9rabilit\u00e9s et d'appliquer correctement les exigences de s\u00e9curit\u00e9.<\/p>\n\n\n\n

Apprentissage par la pratique fatal<\/h2>\n\n\n\n

Il est rare que vous puissiez y consacrer du temps et des ressources - la plupart du temps, c'est une mentalit\u00e9 d'\"apprentissage par la pratique\" qui pr\u00e9vaut, avec ses cons\u00e9quences. \"Je n'aurais jamais pens\u00e9 au terme 'transport' en tant que format de livraison de logiciels\", d\u00e9clare l'architecte de la s\u00e9curit\u00e9 logicielle d'une banque. Souvent, le reste de l'exploitation informatique et la s\u00e9curit\u00e9 de l'information ne savent absolument pas \u00e0 quelle fr\u00e9quence et dans quelle mesure le d\u00e9veloppement de logiciels a lieu avec les technologies SAP comme plate-forme d'application. Un architecte logiciel chez un client a d\u00e9crit cela comme \"l'\u00e9l\u00e9phant cach\u00e9\" de sa pratique de d\u00e9veloppement logiciel. <\/p>\n\n\n\n

Mais il arrive aussi que les initiatives visant \u00e0 contr\u00f4ler les processus de d\u00e9veloppement de logiciels ou \u00e0 am\u00e9liorer la qualit\u00e9 et la s\u00e9curit\u00e9 n'int\u00e8grent pas le d\u00e9veloppement SAP et que les processus et outils d\u00e9finis \u00e0 cet effet ne soient pas ou que partiellement applicables au d\u00e9veloppement SAP. Dans ce contexte, des erreurs dans les d\u00e9veloppements et les add-ons propres aux clients peuvent causer des probl\u00e8mes de s\u00e9curit\u00e9 consid\u00e9rables. Comme tout langage de programmation, Abap et consorts ont des caract\u00e9ristiques sp\u00e9cifiques dont il faut tenir compte en tant que d\u00e9veloppeur.<\/p>\n\n\n\n

Mod\u00e8le d'erreur Abap<\/h2>\n\n\n\n

Parmi les dizaines de revues de code que j'ai effectu\u00e9es au cours des dix derni\u00e8res ann\u00e9es, les mod\u00e8les d'erreurs suivants se distinguent particuli\u00e8rement :<\/p>\n\n\n\n