Identifier les activités malveillantes dans les dépôts de logicielset leur chaîne d'approvisionnement

Identify malicious activities in software repositoriesand their supply chain

• Auteur / Autrice : Solal Rapaport
• Direction : Laurent Pautet, Stefano Zacchiroli
• Type : Projet de thèse
• Discipline(s) : Informatique, données, IA
• Date : Inscription en doctorat le 01/10/2023
• Etablissement(s) : Institut polytechnique de Paris
• Ecole(s) doctorale(s) : École doctorale de l'Institut polytechnique de Paris
• Partenaire(s) de recherche : Laboratoire : Laboratoire de Traitement et Communication de l'Information
• Partenaire(s) de recherche : Equipe de recherche : ACES – Autonomic and Critical Embedded Systems (ACES)

Mots clés

Mots clés libres

Sécurité

Software Heritage

Chaîne d'approvisionnement open source

Security

Software Heritage

Chaîne d'approvisionnement open source

Résumé

Dans le cadre du projet SWHSec (financé par le programme PTCC de l'agence nationale CampusCyber), l'équipe ACES de Télécom Paris (Institut Polytechnique de Paris) offre un poste de doctorant, l'équipe ACES de Télécom Paris (Institut Polytechnique de Paris) propose un poste de doctorant. Les objectifs Les objectifs de cette thèse sont de qualifier et de quantifier les risques d'une attaque malveillante ou d'une faille introduite accidentelle au cours du processus de développement d'un logiciel. L'analyse menée sur les dépôts de logiciels doit s'étendre à l'ensemble de la chaîne d'approvisionnement, car une attaque ou une déficience présente dans les dépendances transitives du logiciel peut avoir des conséquences directes sur l'ensemble de la chaîne d'approvisionnement. dépendances transitives du logiciel peut avoir un impact direct sur le logiciel final lui-même.

In the scope of the SWHSec project (financed by the PTCC program of the French national CampusCyber), the ACES team of Télécom Paris (Institut Polytechnique de Paris) offers a PhD candidate position. The objectives of this PhD thesis are to qualify and quantify the risks of a malicious attack or an accidentally introduced deficiency during the software development process. The analysis carried on software repositories must extend to the whole supply chain, as an attack or a deficiency present in the software's transitive dependencies may have a direct impact on the final software itself.