Socket obtient un investissement de 20 millions de dollars pour aider les entreprises à sécuriser leurs logiciels open source

Socket, une startup qui fournit un outil d'analyse pour détecter les vulnérabilités de sécurité dans le code open source, a annoncé aujourd'hui avoir levé 20 millions de dollars lors d'un cycle de série A dirigé par Andreessen Horowitz (a16z).

La tranche comptait sur la participation d'Abstract Ventures, Wndrco, Unusual Ventures et d'une liste impressionnante d'investisseurs providentiels de haut niveau, dont les cofondateurs de Box (Aaron Levie), Figma (Dylan Field), Okta (Frederic Kerrest), Vercel (Guillermo Rauch) et Eventbrite (Julia et Kevin Hartz).

Le PDG Feross Aboukhadijeh a déclaré que les nouveaux fonds – ainsi que l'investissement initial de Socket de 4,6 millions de dollars, qui porte le total de la société à 24,6 millions de dollars – seront consacrés à la croissance de l'équipe de Socket et à l'élargissement de son support pour davantage de langages de programmation et d'intégrations.

"Au cours de la dernière décennie, il est devenu clair que les logiciels open source ont gagné", a déclaré Aboukhadijeh à TechCrunch dans une interview par courrier électronique. «Le partage gratuit du code a rendu la création de logiciels considérablement moins coûteuse et plus rapide, ce qui a entraîné une accélération de l'innovation technologique. Mais la sécurité est souvent une préoccupation secondaire. Les nouvelles technologies se propagent parce qu’elles sont utiles et non parce qu’elles sont sûres. Les criminels exploitent la confiance accordée aux logiciels open source pour mener des attaques effrontées qui propagent des logiciels malveillants destructeurs.

Il est difficile de contester ce point de vue. Selon une récente enquête Tidelift, seules 15 % des organisations sont extrêmement confiantes dans leurs pratiques de gestion open source. (Certes, Tidelift est un rival de Socket et n'est donc pas la source la plus objective.) La majorité, laisse entendre l'enquête, s'inquiète de la nécessité de maintenir les logiciels open source à jour, sécurisés et bien entretenus.

Ces organisations ont des raisons de s’inquiéter. La société de sécurité Synopsys a découvert dans son étude de tendance 2023 que 89 % des bases de code des entreprises contenaient des logiciels open source obsolètes depuis plus de quatre ans. Pendant ce temps, 91 % utilisaient des composants logiciels ouverts qui n’étaient pas la dernière version disponible.

« Le taux d’attaques contre la chaîne d’approvisionnement logicielle continue d’augmenter à un rythme astronomique », a déclaré Aboukhadijeh. « Associés à des sanctions réglementaires plus strictes en cas de violation, à des règles de reporting obligatoires, ainsi qu'à une explosion de l'utilisation de l'open source au sein des organisations, les risques – et la prise de conscience de ces risques – n'ont jamais été aussi grands. »

Aboukhadijeh – un mainteneur open source prolifique et professeur de sécurité Web à Stanford – fait valoir que Socket est la solution à ces problèmes de sécurité des logiciels open source. C’est tout à fait une affirmation, compte tenu de la multitude d’autres startups et opérateurs historiques qui prétendent la même chose.

Oligo, une entreprise qui se concentre sur la sécurité et l'observabilité des applications d'exécution pour détecter et prévenir les vulnérabilités open source, est sortie furtivement en février grâce à 28 millions de dollars de capital-risque. Endor est sorti furtivement avec 25 millions de dollars en octobre dernier, suite à l'augmentation de 50 millions de dollars de Chainguard début juin. Ailleurs, il y a Stacklok, Arnica et Ox Security, qui ont collecté ensemble plus de 50 millions de dollars.

Google propose également un service, Assured Open Source Software, conçu pour aider les développeurs à se défendre contre les attaques contre la sécurité de la chaîne d'approvisionnement en analysant et en analysant régulièrement les vulnérabilités de certaines des bibliothèques de logiciels les plus populaires au monde.

Aboukhadijeh dit que ce qui différencie Socket, c'est qu'il ne se contente pas de rechercher les logiciels utilisés par un client pour voir si les vulnérabilités ont été signalées dans des bases de données publiques. Au lieu de cela, il va plus loin, en essayant de réduire le bruit qui pourrait survenir lors de l'analyse de milliers de lignes de code tiers.

"Contrairement à un scanner de sécurité traditionnel, Socket peut détecter une attaque active de la chaîne d'approvisionnement et vous aider à la bloquer", a expliqué Aboukhadijeh. "Et contrairement à un outil d'analyse statique traditionnel, Socket fournit des commentaires exploitables sur le risque de dépendance au lieu de centaines d'alertes dénuées de sens."

Plus précisément, Socket recherche des signaux d'alarme de haut niveau dans les logiciels, tels que les logiciels malveillants, les fautes de frappe (enregistrement de noms de domaine fréquemment mal orthographiés à des fins malveillantes), les packages trompeurs et le code non maintenu, en plus des mainteneurs inconnus et des autorisations excessives. La plate-forme propose une fonction de recherche qui permet aux utilisateurs de plonger dans une base de code pour rechercher et suivre les modifications des dépendances, ainsi qu'une extension gratuite pour les navigateurs Web qui tente de déterminer si un package open source est sécurisé et digne de confiance.