Las organizaciones invierten enormes cantidades de dinero en proteger la identidad digital y la gestión del acceso de sus usuarios, como sus nombres de usuario y contraseñas. Se necesitan más recursos para gestionar las claves de firma de código, las identidades de las máquinas y los certificados, ya que la economía digital global depende de infraestructuras y software seguros. La transformación digital ha obligado a las empresas a digitalizar sus operaciones y a desarrollar sus negocios de software. Por lo tanto, surge la necesidad de proteger estas infraestructuras críticas mediante la máquina de firma de código, lo que hace que la gestión de identidades sea más crucial que nunca.
En resumen, así es como CodeSign Secure protege la firma de código: claves privadas respaldadas por HSM que nunca se exportan, análisis de malware y vulnerabilidades antes de la firma, hash del lado del cliente para que los artefactos completos nunca atraviesen la red, control de acceso basado en roles integrado con LDAP y una herramienta de firma masiva mediante CLI para flujos de trabajo de alto volumen.
Puntos Clave
- El análisis previo a la firma es importante precisamente porque una firma solo certifica el código a partir del momento de la firma; no dice nada sobre si el código ya era malicioso antes de llegar al paso de la firma.
- Para conocer la superficie de ataque subyacente de la cadena de suministro que abordan estos controles, consulte Introducción a la firma de código: Cómo proteger su cadena de suministro de software.
¿Qué es la firma de código?
La firma de código es un método para añadir una firma digital a un archivo o software, de modo que se pueda verificar su autenticidad al usarlo, incluyendo la integridad del software. Esto garantiza que el destinatario conozca al remitente o autor y que el archivo no haya sido manipulado después de la firma. Anteriormente, el software de firma de código se utilizaba principalmente para verificar la autenticidad de los ejecutables de software, como actualizaciones, programas y scripts de shell, para garantizar la autenticidad e integridad de estos usuarios finales.
¿Cómo funciona la firma de código?
Cuando se utiliza una identidad de máquina válida para firmar un software —como un certificado de firma de código y una clave de cifrado—, los dispositivos informáticos confiarán implícitamente en el software y lo ejecutarán sin condiciones. La firma de código válida indica que el código proviene de la fuente confiable que lo firmó y que no ha sido manipulado por terceros.
Cuando este proceso se ve comprometido, los ciberdelincuentes pueden usar indebidamente las identidades de las máquinas de firma de código para introducir malware que aparentemente proviene de su organización en su software. Sin embargo, con la reciente oleada de ataques a la cadena de suministro de software, donde los hackers insertan malware antes de que el software final esté firmado, la firma de código también se utiliza ahora para proteger artefactos de software intermedios, como el código fuente, los scripts de compilación, las bibliotecas de software, los contenedores de ejecución como Docker y las herramientas que utiliza el equipo de software para desarrollar su software.
¿Cómo afecta la identidad de la máquina de firma de código a la seguridad?
Al realizar una transacción en línea, los usuarios prefieren asegurarse de que, al iniciar sesión en su cuenta bancaria, están proporcionando sus credenciales a los bancos correspondientes y no a ningún atacante. Del mismo modo, es fundamental asegurarse de que los programas y actualizaciones que un usuario pretende descargar sean seguros y provengan de remitentes o editores auténticos. Para lograr esto, el usuario debe utilizar la misma infraestructura de clave pública (PKI) que se utiliza para proteger la conexión HTTPS. El proceso de firma de código se define como la firma y verificación de software mediante identidades de máquina.
Cuando archivos de software como un programa, documento, controlador, firmware, archivo, aplicación móvil, contenedor o incluso un script se firman digitalmente para demostrar que provienen de una fuente autenticada y que los datos no han sido manipulados ni alterados tras su firma, los tres elementos necesarios para una operación de firma de código son:
- El código que se debe firmar.
- A Autoridad de certificación (CA) previamente emitió un certificado de firma de código público.
- Se debe utilizar una clave de firma de código privada para cifrar.
Una vez que una organización dispone del certificado de firma de código y del par de claves PKI pública/privada , los desarrolladores o usuarios pueden firmar su código. Este proceso varía según el tipo de código que se firme y la frecuencia de su publicación.
¿Cómo proporciona seguridad CodeSign Secure de EC?
El producto CodeSign Secure de Encryption Consulting almacena las claves privadas de los certificados de firma de código en un HSM para eliminar todo tipo de riesgos asociados con claves corruptas, robadas o mal utilizadas. Validamos el código con definiciones antivirus actualizadas para malware y virus antes de firmar digitalmente cualquier código malicioso. En el lado del cliente, se ha habilitado el hash para garantizar el rendimiento de la compilación y evitar el movimiento innecesario de archivos, lo que proporciona mayor seguridad.
Preguntas frecuentes
¿Una firma válida de CodeSign Secure garantiza que el código esté libre de malware?
La firma en sí solo garantiza el origen y la integridad a partir del momento de la firma. El antivirus y el análisis de vulnerabilidades previos a la firma de CodeSign Secure son el control que detecta el código malicioso antes de que se firme, un paso independiente de la verificación de la firma.
¿Por qué es importante el hash del lado del cliente para la seguridad, y no solo para el rendimiento?
Dado que solo el hash, y no el artefacto completo, necesita viajar al servicio de firma, el archivo nunca se expone durante su tránsito a un servidor de firma compartido, lo que reduce la superficie de ataque a la vez que mejora el rendimiento de la compilación.
Conclusión
CodeSign Secure de EC proporciona una herramienta de firma por línea de comandos que facilita la firma masiva de solicitudes, permitiendo firmar varios archivos en menos de 0.2 segundos cada uno. Además, permite la integración de sistemas de control de acceso robustos con LDAP y flujos de trabajo personalizables para mitigar los riesgos asociados con el acceso indebido a usuarios no autorizados y la firma de código con certificados maliciosos. De esta forma, CodeSign Secure ayuda a confirmar la autenticidad y originalidad de la información digital, como el código fuente de un software.
