Nous allons explorer des solutions aux enjeux de mise à jour des composantes tant externes (dépendances) qu'internes (code) sous l'angle de la gestion de l'obsolescence / modernisation du logiciel. Nous verrons à travers ces exemples que les équipes n'ont plus d'excuses pour adresser ces problématiques essentielles, gagneront en efficacité et auront plus de temps pour se concentrer sur le métier.

1. Thématique
BUILD
& DEPLOY
DEVOXX FRANCE 2024

2. Eric SIBER
warmup
DEVOXX FRANCE 2024
Renforçons notre Developer eXperience
pour faire face aux menaces d'obsolescence
et de vulnérabilité
/ Tools In Action

3. LES MENACES D’OBSOLESCENCE
ET DE VULNÉRABILITÉ
DEVOXX FRANCE 2024
/PÉRIMÈTREDECETALK
L’obsolescence
ØDes librairies utilisées
ØDe notre façon d’écrire du code
Les risques sécurité
ØDans les librairies utilisées
ØDans notre code (volet SAST)

4. LES MENACES D’OBSOLESCENCE
ET DE VULNÉRABILITÉ
DEVOXX FRANCE 2024
/PÉRIMÈTREDECETALK
Certains écosystèmes, comme JavaScript,
viennent avec un premier support partiel
dans leur SDK
ØEx. : npm outdated
ØEx. : npm audit
Complété par des plugins / extensions
ØEx. eslint-plugin-security-node

5. summary
DEVOXX FRANCE 2024
/DÉROULÉ 1. SCA avec Maven
Démo en CLI
2. Support IDE
Démo avec IntelliJ
3. Outil intégré au DVCS
Démo Renovate avec Gitlab
4. Migration de codeS
Démo OpenRewrite
5. SBOM
Démo plugin Maven CycloneDX

6. LES
RÉFÉRENTIELS
DEVOXX FRANCE 2024
Pour savoir si une version de librairie est obsolète ou présente une
vulnérabilité, il faut pouvoir s’appuyer sur des référentiels
/LASOFTWARECOMPOSITIONANALYSIS(SCA)ETLES RÉFÉRENTIELS
Ø Des dépôts
ØDes bases de données

7. LES
RÉFÉRENTIELS
DEVOXX FRANCE 2024
Exemple avec un projet Java géré avec Maven
/LASOFTWARECOMPOSITIONANALYSIS(SCA)ETLES RÉFÉRENTIELS
Ø Avec le plugin Maven « versions »
Ø Avec le plugin Maven « dependency-check » (OWASP -
Open Worldwide Application Security Project)
ØBloquer un build selon la valeur des scores (CVSS)

8. LA
SCA
DANS
L’IDE
DEVOXX FRANCE 2024
Chaîne de Continuous Integration vs. Developer eXperience
/LA SCA DANS L’IDE
Ø « Maven Dependency Checker » plugin
Ø « Package Checker » plugin

9. LA
SCA
DANS
LA
PIC
DEVOXX FRANCE 2024
/LASCADANSLAPLATEFORMED’INTÉGRATIONCONTINUE
Main dans la main avec l’outil de gestion de version

10. LA
SCA
DANS
LA
PIC
DEVOXX FRANCE 2024
/LASCADANSLAPLATEFORMED’INTÉGRATIONCONTINUE
GitHub Dependabot vs. Renovate Bot

11. LA
SCA
DANS
LA
PIC
DEVOXX FRANCE 2024
/LASCADANSLAPLATEFORMED’INTÉGRATIONCONTINUE
Démo de Renovate qui sait s’adapter à votre contexte

12. LA
SCA
DANS
LA
PIC
DEVOXX FRANCE 2024
/LASCADANSLAPLATEFORMED’INTÉGRATIONCONTINUE
Démo de Renovate qui sait s’adapter à votre contexte
Ø Un support large de package managers
Ø De nombreuses options de configuration pour un fine
tuning du comportement à appliquer sur un dépôt

13. SCA
ET
MIGRATION
DE
CODE
DEVOXX FRANCE 2024
/SCAETMIGRATIONDECODE
« Automated code refactoring »

14. SCA
ET
MIGRATION
DE
CODE
DEVOXX FRANCE 2024
/SCAETMIGRATIONDECODE
« Automated code refactoring »
Démo avec OpenRewrite sur une base de code Spring Boot
Ø Migration 2.x vers 3.2
Ø Migration JUnit 4 vers JUnit 5

15. SCA
ET
MIGRATION
DE
CODE
DEVOXX FRANCE 2024
/SCAETMIGRATIONDECODE
Le champs d’application d’OpenRewrite est vaste
Ø Find and fix vulnerable dependencies
Ø Static analysis and remediation
Ø …

16. SCA
ET
STANDARDS
DEVOXX FRANCE 2024
/SCAETSTANDARDS
De nombreux acteurs, de nombreux écosystèmes
Ø Absence de standard au départ
Ø Le SBOM (Software Bill of Materials), apparu initialement en
2014, va au-delà de la SCA et vise à fournir une inventaire
complet de ce qui compose un logiciel
Ø Exigé par le gouvernement américain depuis mai 2021

17. SCA
ET
STANDARDS
DEVOXX FRANCE 2024
/SCAETSTANDARDS
Ø De nombreux standards sont par la suite apparus (ex.
SaaSBOM, ML-BOM, HBOM, etc.)
Ø SPDX a été créé par la Linux Foundation et reconnu comme
un standard SBOM en 2021
Ø A l’initiative de l’OWASP en 2017, CycloneDX est un projet
Open Source actif supportant SBOM et BOM en général

18. SBOM
EN
PRATIQUE
DEVOXX FRANCE 2024
/SBOMENPRATIQUESURUNPROJETJAVA
Ø Plugin Maven CycloneDX
Ø Exemple d’analyse d’un SBOM avec Snyk

19. SUMMARY
GUIDE
DEVOXX FRANCE 2024

20. THANKS
FOR WATCHING
DEVOXX FRANCE 2024
Eric SIBER
eric@agiledev.tech
eric@hackyourjob.com