Teknik - Dazio ou comment protéger le poste d'un développeur - Parce que... c'est l'épisode 0x35E!
Contenu de l'épisode
- 13 et 14 novembre 2026 - Worldwide - DEATHCon
- 16 au 19 novembre - Rennes, France - European Cyber Week 2026
- 25 et 26 février 2027 - Québec, Canada - SéQCure 2027
- 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027
- I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle
- 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes
- Boostsecurity - Dazio
- 5 novembre 2026 - Montréal, Canada - CISO Open Mic Montréal 2026
Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.
Une genèse ancrée dans le quotidien des développeurs
Dans cet épisode de Polysécure, l’animateur accueille Alexis-Maurer Fortin, développeur chez Boost, pour présenter Dazzio, un outil dédié à la sécurité des postes de développeurs, lancé officiellement depuis quelques semaines. Le projet découle du produit commercial Developer Endpoint Protection et du projet open source Bagel, qui révélait les secrets présents sur les machines. Convaincus que les développeurs sont devenus des cibles privilégiées des attaques de chaîne d’approvisionnement, et jugeant les solutions du marché fragmentaires, l’équipe a voulu rassembler ces capacités dans une solution unique et simple d’utilisation.
Un premier scan puis une protection continue
L’outil analyse d’abord le portable du développeur pour recenser les packages installés via NPM ou PyPI, les extensions d’IDE comme VS Code, les skills, les serveurs MCP configurés ainsi que les configurations des gestionnaires de packages, offrant une vision globale de l’exposition de la machine. En cas de campagne d’attaque, un développeur peut installer l’outil et obtenir immédiatement un portrait de sa posture, la présence éventuelle de malware et des pistes de remédiation.
Dazzio propose ensuite un mode protection roulant en arrière-plan sous forme de daemon, avec une attention particulière aux ressources, les développeurs détestant les outils qui ralentissent leur machine. Des scans périodiques repèrent les packages nouvellement installés ou désinstallés, tandis qu’un flux propriétaire de malware, rapidement mis à jour, permet une détection en temps presque réel.
Le mode safe package pour bloquer le malware
La fonctionnalité la plus importante selon Alexis demeure le mode safe package. L’outil instrumente les configurations des gestionnaires de packages connus, un peu comme le ferait une librairie interne d’entreprise, afin que les requêtes transitent par le daemon avant d’atteindre NPM ou PyPI. Elles passent par un socket local, filtrées surtout pour les installations, le reste étant laissé passer. Deux variantes existent. Le mode audit avise l’usager en temps réel lorsqu’un package malveillant vient d’être installé. Le mode bloquant, lui, empêche l’installation dès qu’une correspondance est établie avec la base de données de malware. Bloquer avant l’exécution est essentiel, car une détection après coup laisse craindre que le code malveillant ait déjà été exécuté. L’outil aide aussi à la remédiation en identifiant les services, comme GitHub ou d’autres SaaS, auxquels les secrets exposés donnent accès.
Des signatures issues de partenariats
Pour alimenter ses détections, l’équipe a conclu un partenariat avec Open Source Malware, un site spécialisé dans la détection de campagnes actives, qui fournit des données sur les menaces en cours. L’outil s’appuie aussi sur OSV, un consortium qui agrège les vulnérabilités touchant les packages et les librairies de code. Boost demeure une très petite équipe, d’où l’importance de ce partenaire.