¿Qué es la firma de código?
Si usted es CISO o ocupa un puesto equivalente en cualquier organización, una de sus mayores pesadillas sería un fallo en la línea de defensa de la seguridad de datos. Un módulo tan importante y relevante para la protección de datos es... Firma de códigoLas organizaciones deben ser conscientes de las amenazas que enfrenta el proceso de firma del Código e implementar recomendaciones razonables para abordar los problemas.
Según un estudio realizado por Venafi, se entiende que de 320 participantes de EE. UU., Europa y Canadá más de 28% implementar un política de firma de código definida Para proteger los certificados utilizados para firmar código. Existe una alta probabilidad de falsificación y robo de certificados por parte de ciberpiratas si no se aplican las políticas adecuadas para la firma de código.
Analicemos algunos escenarios del panorama de amenazas para la “Firma de código” cuando no existe una política de firma de código adecuada.
Amenazas potenciales a la firma de código
-
Robo/pérdida de claves de firma privadas: Las claves privadas de firma deben protegerse con sumo cuidado. Se reportan numerosos incidentes regularmente debido al robo de claves privadas de firma. Los ciberdelincuentes con acceso a estas claves podrían enmascarar malware o código malicioso como código o software auténtico. Estos incidentes podrían causar enormes pérdidas financieras, así como la pérdida de reputación de la marca. Una sola clave privada comprometida puede causar estragos en el negocio de toda la empresa.
Los incidentes reales provocados por el robo de claves privadas de firma causaron graves daños a las empresas afectadas. Los gobiernos también se ven afectados por la pérdida de claves privadas, y un ejemplo clásico es el ataque al gobierno de Malasia en noviembre de 2011, donde se utilizaron certificados legítimos robados para firmar malware.
-
Autoridad de certificación comprometida:Ataque directo lanzado contra autoridad de certificación (CA) La emisión de certificados de firma de código puede causar graves daños a la empresa que los utiliza. Por lo tanto, siempre es recomendable garantizar que las CA que emiten certificados sigan las mejores prácticas. Los ciberataques a las CA pueden incluso provocar la quiebra de la empresa que los emite.
Un incidente de este tipo le ocurrió a una autoridad de certificación holandesa, DigiNotar, en 2011. La autoridad de certificación fue comprometida por piratas informáticos y emitió certificados falsos para muchos sitios web de buena reputación, lo que finalmente resultó en la quiebra de DigiNotar. La mejor práctica es realizar una evaluación de los procesos de investigación utilizados por la autoridad de certificación y las medidas de seguridad de datos implementadas antes de elegir la CA.
-
Uso de controles de gobernanza de criptografía insegura: El uso de algoritmos criptográficos débiles e inseguros para el proceso de firma de código generaría vulnerabilidades que podrían dar lugar a ciberataques, como ataques de fuerza bruta para hackear las claves utilizadas para la firma de código. Un control de gobernanza deficiente puede provocar intrusiones en los sistemas de desarrollo y producción. Estas fallas de seguridad pueden provocar la firma y autenticación de código malicioso.
Los CISO deberían considerar la implementación de controles de gobernanza adecuados para crear un entorno seguro. Además, una evaluación adecuada de los procesos de firma de código evitaría cualquier vulneración sin precedentes. La encuesta de Venafi sobre las mejores prácticas y procesos de firma de código en EE. UU., Canadá y Europa mostró un panorama sorprendente del panorama de la firma de código.
Más de 50% De los encuestados en EE. UU., Canadá y Europa, no tienen definidos procesos de firma de código o implementan procesos informales con inconsistencias. Esto es una preocupación muy alarmante para los CISO. 35% de los encuestados no tienen un propietario claro para gestionar las claves privadas de firma de código.
En muchos casos, el equipo de desarrollo, el de seguridad de la información o ambos gestionan las claves privadas utilizadas para la firma de código. Es responsabilidad de los CISO considerar la contratación de un equipo interno o una consultora con experiencia en criptografía y procesos de firma de código para una implementación mejor y más segura de la firma de código.
Si su organización está buscando evaluación y/o implementación de Firma de Código, por favor consulte [email protected] para mayor información
