Fortaleciendo su cadena de suministro de software: protegiéndose contra ataques de próxima generación

En los últimos años, la industria del software ha experimentado un aumento considerable en los ataques a la firma de código. Los hackers han estado explotando vulnerabilidades en los certificados de firma de código para lanzar ataques sofisticados contra las cadenas de suministro de software , causando importantes daños financieros y de reputación a las organizaciones. Ciberataques recientes, como las filtraciones de SolarWinds y Codecov, han puesto de manifiesto los efectos devastadores de estos ataques, lo que ha llevado a gobiernos y expertos del sector a tomar cartas en el asunto.

El gobierno estadounidense, por ejemplo, ha emitido alertas y avisos advirtiendo sobre los riesgos de los ataques de firma de código, e instando a los desarrolladores de software a proteger sus cadenas de suministro con medidas de seguridad robustas. La necesidad de herramientas de firma de código es más crucial que nunca, ya que ofrecen una defensa fiable contra el daño potencial de estos ataques.

Según los primeros datos del octavo informe anual sobre el estado de la cadena de suministro de software de Sonatype, publicado el 18 de octubre de 2022 , Sonatype ha registrado un aumento promedio del 700 % en los ataques a repositorios durante los últimos tres años. Estas cifras son alarmantes y, lo que es aún más preocupante, representan una amenaza para los clientes.

En este blog, profundizaremos en el auge de los ataques de firma de código, exploraremos ataques recientes y sus consecuencias, examinaremos informes de organizaciones gubernamentales y analizaremos la importancia de las herramientas de firma de código para proteger las cadenas de suministro de software. Al finalizar este blog, comprenderá mejor el panorama actual de amenazas y las medidas que puede tomar para proteger su cadena de suministro de software contra los ataques de firma de código.

Ataques modernos utilizados por APT

Con el tiempo, no solo nuestras defensas se fortalecen con tecnología de vanguardia, sino que los ataques de las APT también se vuelven más inteligentes. Los hackers son cada vez más ágiles.   

Aquí se enumeran algunos tipos de ataques de firma de código que utilizan las APT modernas:

• Suplantación de firma de código

  Los atacantes pueden robar certificados de firma de código legítimos y usarlos para firmar su malware, eludiendo los antivirus y otras medidas de seguridad.

• Puertas traseras del compilador

  Los atacantes pueden instalar puertas traseras en los compiladores, que luego se utilizan para inyectar código malicioso en programas de software legítimos durante el proceso de compilación.

• Ataques de hombre en el medio

  Los atacantes pueden interceptar y modificar los paquetes de software mientras se descargan, inyectando código malicioso o manipulando el comportamiento del código para causar daños.

• Ataques de confusión de dependencia

  En este tipo de ataque, los atacantes aprovechan las vulnerabilidades del proceso de desarrollo de software para inyectar código malicioso en la cadena de suministro de software, explotando dependencias que tienen el mismo nombre que las legítimas.

¿Pero quién asume el factor seguridad?

Cualquier programa de ciberseguridad exitoso requiere una estrategia integral que involucre tanto a humanos como a máquinas. Sin embargo, en los últimos años, los grupos APT han explotado vulnerabilidades en el factor humano mediante tácticas de ingeniería social para penetrar el sistema sin ser detectados. Estos atacantes se aprovechan de las suposiciones de los equipos de seguridad sobre el adware y otras aplicaciones aparentemente inofensivas para moverse lateralmente dentro de la red y evitar ser detectados por las soluciones de seguridad.

Incluso pueden usar herramientas legítimas ya presentes en el sistema para su propio beneficio. Para mitigar estos riesgos, es crucial no solo invertir en tecnología de vanguardia, sino también capacitar a los empleados sobre las mejores prácticas. Un enfoque integral que combine tecnología avanzada con la capacitación de los empleados es necesario para garantizar que el factor humano no sea un eslabón débil en la cadena de seguridad. De esta manera, las organizaciones pueden protegerse mejor de los grupos APT y otras amenazas sofisticadas que atacan la psique humana.

¿Qué lleva a que se comprometa un certificado?

Los certificados de firma de código son fundamentales para garantizar la seguridad del software. Sin embargo, también son vulnerables a los ataques de hackers. Estos pueden obtener dichos certificados de diversas maneras, como explotando tres vulnerabilidades clave.

• El primero es el robo de claves, donde los certificados de firma de código y sus claves privadas suelen almacenarse en ubicaciones desprotegidas, como servidores de firma o estaciones de trabajo de desarrolladores. Una vulneración en estos sistemas puede facilitar el acceso a los hackers.
• La segunda vulnerabilidad es el uso indebido interno, donde los desarrolladores facilitan inadvertidamente que los atacantes obtengan certificados de firma de código. Un ejemplo de esto fue cuando D-Link publicó accidentalmente cuatro claves de firma de código en firmware de código abierto en 2015.
• El tercer y más preocupante problema es la vulnerabilidad de firma, en la que los atacantes atacan la propia infraestructura de firma. Al comprometer la infraestructura, pueden firmar malware y distribuirlo como software legítimo sin ser detectados. En 2019, por ejemplo, hackers comprometieron la utilidad Live Update de ASUS, lo que les permitió distribuir malware a miles de usuarios sin ser detectados.

Firma de código segura 

Aquí es donde entramos nosotros: CodeSign Secure es nuestra tecnología que ayuda a reducir considerablemente el riesgo de vulneración de seguridad. Abordamos directamente los problemas relacionados con los factores que, en última instancia, provocan dichas vulneraciones.

Una vulnerabilidad no solo cuesta una fortuna, sino que también genera desconfianza en los usuarios. Las brechas de seguridad son sinónimo de caos para cualquier organización. Parchar la vulnerabilidad lo antes posible es la máxima prioridad, pero nadie sabe cuánto tiempo tomará solucionarla.  

CodeSign Secure es el escudo que te protege de este caos.

CodeSign Secure aborda los problemas con:

• Escaneo de virus

  CodeSign Secure comienza con un análisis antivirus antes de iniciar cualquier proceso de firma. Busca virus o malware que puedan haber sido inyectados en el archivo antes de enviarlo para su firma.

• Hashing del lado del cliente

  CodeSign Secure utiliza el hash del lado del cliente , lo que proporciona una capa adicional de seguridad para los clientes. El hash de un archivo en su origen ayuda a mantener su integridad al máximo y ofrece al cliente una visión clara del archivo y de lo que sucede después de la firma.

• Manejo de pares de claves

  CodeSign Secure nunca expone la clave al firmar el archivo/código. El archivo se firma dentro del HSM y las claves nunca se exponen al exterior.

• Control de acceso basado en roles

  Nuestra organización ofrece control de acceso basado en roles para la firma de código/archivos, lo que proporciona acceso y privilegios correctos al usuario. Esto garantiza que solo quienes tengan los roles adecuados puedan acceder a los certificados y claves dentro de la herramienta.

• Revocación de certificados comprometidos

  Cuando un certificado expira, se renovará automáticamente, pero en el caso de que se descubra que un certificado o una clave han sido comprometidos, la clave puede revocarse y, por lo tanto, el proceso de firma no puede ocurrir con esa clave y ese certificado.

• Marca con tiempo tu código firmado

  Evite el riesgo de que el software caduque inesperadamente cuando caduque el certificado de firma de código. Cuando caduque un certificado de firma de código, también caducará la validez del software firmado, a menos que este tuviera una marca de tiempo al firmarse.

• Supervisar y auditar los flujos de trabajo de firma de claves

  Los certificados y las claves están asociados a aplicaciones específicas, y quien firme queda registrado en los registros de nuestra herramienta, por lo que tenemos la IP y el nombre de usuario de quien intente firmar. Se bloquearán si no tienen credenciales válidas o si la clave o el certificado han caducado.

Conclusión

Internet será más caótico en el futuro próximo. Estos ciberataques no se detendrán pronto; al contrario, aumentarán exponencialmente. Debemos proteger nuestros datos y tomar las precauciones y medidas adecuadas para hacerlo.

No solo necesitamos usar tecnología de vanguardia, sino también concientizar a la población. Es necesario implementar políticas de auditoría periódicas y un sistema adecuado de autenticación basada en roles y control de acceso.

Asumir la responsabilidad de proteger su producto es muy importante, y siempre encontrará un apoyo. Estaremos encantados de ser ese apoyo y ayudarle a proteger lo que realmente le importa.