Das branchenweit erste Software Supply Chain Security Toolkit

Wir leben in einer Zeit, in der digitale Signaturen ein Zeichen der Authentizität darstellen. Angesichts des rasanten Wachstums der Welt muss im Internet alles verifiziert werden, sei es Quellcode, Skript, Schlüsselpaar oder sonstige von Dritten angebotene Dienstprogramme. Alle Inhalte, die wir im Internet sehen, müssen vor ihrer Nutzung auf ihre Authentizität geprüft werden. Diese Prüfung erfolgt vor der Nutzung durch Codesignatur.

Die Markierung, von der wir sprechen, ist der Hauptanziehungspunkt der Code-Signierung. Es handelt sich um den eindeutigen Hash-Wert, der vor der Auslieferung des Softwarecodes berechnet wird. Software oder Dienstprogramme werden mit einem Digitale Unterschrift und einen Hashwert, um zu vergleichen, ob der empfangene Dienst vom ursprünglichen Autor stammt oder von böswilligen Bedrohungsakteuren manipuliert wurde.

Kommen wir nun zur Sicherheit der Software-Lieferkette. Die gesamten Schritte des Softwareentwicklungslebenszyklus (SDLC) oder die Aktivitäten, die mit Anwendungen interagieren oder anderweitig zu ihrer Entwicklung beitragen, werden als bezeichnet. Software-Lieferkette

Bei der Sicherheit der Software-Lieferkette handelt es sich um den Prozess des Schutzes der Elemente, Prozesse und Verfahren, die bei der Entwicklung und Verteilung von Software verwendet werden. Dazu gehören Entwicklertechniken, Entwicklungstools, Schnittstellen, Code von Drittanbietern und proprietärer Code, Bereitstellungsstrategien, Infrastruktur und Schnittstellen.

Diese sicherheitsrelevanten Aufgaben fallen in den Zuständigkeitsbereich einer Organisation, ebenso wie die Vorlage von Nachweisen für derartige Bemühungen gegenüber den Verbrauchern. 

Wie kann Code Signing dazu beitragen, Angriffe auf die Software-Lieferkette einzudämmen?

Das Hauptkonzept der Code-Signierung konzentriert sich auf die Integrität des Codes und stellt sicher, dass der an den Kunden ausgelieferte Code vom ursprünglichen Autor stammt. Der Autor der Software signiert den Code, wenn er Änderungen vornimmt, und stellt so sicher, dass keine unbefugten Aktionen durchgeführt werden.

Das bedeutet, dass alles, was Ihnen geliefert wird, mit einem vom Autor freigegebenen Hash, einem Schlüssel und einem digitalen Zertifikat versehen ist, um vor der Verwendung immer zuerst eine Authentifizierung durchzuführen. 

Codesignatur ist auch bei der Arbeit in einer Teamumgebung hilfreich. Sie können beim Austausch von Quellcode im gesamten SDLC Code Signing verwenden, um eine doppelte Authentifizierung sicherzustellen, Angriffe zu verhindern und sogar Namespace-Konflikte zu vermeiden.

Die Code-Signierung erfolgt in einem dreistufigen Prozess

• Erstellen eines eindeutigen öffentlich-privaten Schlüssels
• Hashing
• Entschlüsselung und Verifizierung

Jüngste Angriffe auf die Software-Lieferkette

SolarWinds

Bedrohungen der Software-Lieferkette erregten erstmals nach dem SolarWinds-Hack Aufmerksamkeit. Hacker konnten auf Orion zugreifen, das IT-Überwachungssystem des Unternehmens, das von über 30,000 Unternehmen, darunter kommunalen, staatlichen und bundesstaatlichen Behörden, genutzt wird.

Durch ein Orion-Software-Update konnten die Hacker Backdoor-Malware verbreiten.

Also, was ist hier passiert?

Die Schadsoftware konnte nicht nur auf Systemdaten zugreifen und neben dem normalen Betrieb von SolarWinds funktionieren und dabei sogar Antivirensoftware umgehen, sondern die Hacker konnten auch auf die Konten und Benutzer der Opfer zugreifen und sich als diese ausgeben.

Von dem Zeitpunkt an, als die Hacker im September 2019 erstmals in das System eindrangen, bis zu dem Zeitpunkt, als der Vorfall im Dezember 2020 erstmals entdeckt oder öffentlich gemeldet wurde, blieben die Täter unentdeckt. 

Sie können das ausführliche Video, das den Angriff erklärt, auf unserem YouTube-Kanal ansehen, indem Sie dem unten stehenden Link folgen –

Kaseya

Der IT-Management-Softwareanbieter Kaseya gab an, dass er aufgrund einer Schwachstelle in seiner VSA-Software, die Hacker im Juli 2021 ausnutzten, Ziel eines Angriffs auf die Lieferkette gewesen sei.

Die Angreifer zielten auf mehrere Managed Service Provider (MSPs) und deren Kunden ab, die später als REvil identifiziert wurden. Diese nutzten die Sicherheitslücke, um Ransomware Operationen.

Hacker könnten über ein falsches Update auf Computer zugreifen, indem sie den VSA-Server durchbrechen, der zur Verteilung einer Vielzahl automatisierter IT-Aufgaben und -Anwendungen verwendet wird.

Laut Kaseya waren insgesamt 1,500 Firmen von dem Hack betroffen, darunter etwa 60 Kunden des Unternehmens.

Später erklärte Kaseya auch, dass es das angebliche Lösegeld des Hackers in Höhe von 70 Millionen US-Dollar (50 Millionen US-Dollar) nicht bezahlt habe.

log4j

Millionen von Systemen wurden durch die als Log4Shell bekannte Sicherheitslücke gefährdet, die gegen Ende 2021 Log4j, eine Java-basierte Protokollierungsanwendung, betraf.

log4j ist ein Open-Source-Programm der Apache Software Foundation, das Diagnosedaten zu Systemen protokolliert und diese an Benutzer und Administratoren weiterleitet, um einen ordnungsgemäßen Betrieb zu gewährleisten.

Die Sicherheitslücke Log4Shell im Dezember 2021 verschaffte Hackern jedoch Zugriff auf Netzwerke, sodass sie Daten stehlen, Logins und Passwörter herausfinden und andere Schadsoftware starten konnten.

Darüber hinaus waren viele Menschen und Unternehmen aufgrund der weit verbreiteten Verwendung von Log4j Angriffen ausgesetzt. 

Die Sicherheitslücke in Log4j wurde CVE-2021-44832, eine RCE-Sicherheitslücke, die Instanzen von Log4j 2 betrifft, wenn ein Angreifer die Berechtigung hat, die Protokollierungskonfigurationsdatei zu ändern und im Gegenzug mithilfe eines JDBC-Appenders eine schädliche Konfiguration erstellen kann.

CodeSign Secure: Eine helfende Hand

Unsere Organisation bietet eine robuste und zuverlässige Lösung- CodeSign sicher. Unsere Lösung ist anders, denn CodeSign Secure hilft Kunden dabei, immer einen Schritt voraus zu sein, indem es eine sichere Code Signing-Lösung mit manipulationssicherer Speicherung der Schlüssel und vollständiger Transparenz und Kontrolle der Code Signing-Aktivitäten bietet.

Wichtiges Merkmal, das uns in diesem Bereich auszeichnet: –

• Unterstützung für benutzerdefinierte Workflows eines „M of N“-Quorums mit mehrstufiger Unterstützung von Genehmigern
• Das Signiertool für die Befehlszeile bietet eine schnellere Methode zum Signieren von Anfragen in großen Mengen.
• Robuste Zugangskontrollsysteme können integriert werden mit LDAP und anpassbare Workflows zur Minderung der Risiken, die mit der Gewährung von falschem Zugriff an nicht autorisierte Benutzer verbunden sind, wodurch diese Code mit bösartigen Zertifikaten signieren können.
• Durch die Validierung des Codes anhand aktueller Antivirendefinitionen auf Viren und Malware vor der digitalen Signierung werden die mit der Signierung von Schadcode verbundenen Risiken gemindert.

Fazit

Code Signing ist in der heutigen Zeit von entscheidender Bedeutung, da Piraterie und die Bedrohung des Internets durch böswillige Akteure zu groß sind und die Kompromittierung einer Organisation Millionen von Dollar kostet.

Wir bieten eine Plattform zum Erstellen/Generieren und Importieren von Zertifikaten für Organisationen. Dokumente (Umgebungen – Windows, Linux, Jar-Signatur und Dokumentsignatur) werden mit einem privaten Schlüssel signiert und mit dem jeweiligen Zertifikat verifiziert. Detaillierte Protokollierungsfunktion mit umfangreicher GUI-Darstellung (statistische Analyse). Die Verwaltung von Tools ist einer der Hauptvorteile von CodeSign Secure.

Vorbeugen ist immer besser als Heilen. Die Verhinderung der Kontrolle von persönlichen Daten und Kundendaten durch böswillige Akteure ist immer besser als die Wiederherstellung nach einem Notfall. Unsere Organisation hilft Menschen dabei, Katastrophen zu verhindern, bevor sie eintreten.