Code ondertekening Is het proces waarbij een digitale handtekening wordt aangebracht op een softwareprogramma dat bedoeld is voor release en distributie aan een andere partij of gebruiker, met twee hoofddoelen. Ten eerste om de authenticiteit en het eigendom van de software te bewijzen.
De tweede is om de integriteit van de software te bewijzen, d.w.z. te bewijzen dat er niet mee is geknoeid, bijvoorbeeld door het invoegen van schadelijke code. Codeondertekening is van toepassing op elk type software: uitvoerbare bestanden, archieven, drivers, firmware, bibliotheken, pakketten, patches en updates. Een inleiding tot codeondertekening is gegeven in eerdere artikelen op deze blog. In dit artikel bekijken we enkele zakelijke voordelen van het ondertekenen van code.
Vermindering van financieel risico
Volgens recent onderzoek bedragen de gemiddelde kosten van een malware-aanval ongeveer 2.6 miljoen dollar.1 en dit vormt een groot financieel risico voor elke organisatie. Een van de hoofdoorzaken van malware is wanneer software wordt geïnstalleerd zonder dat de authenticiteit van de software wordt gecontroleerd en zonder dat wordt vastgesteld wie de eigenaar van de software is.
Een andere bron van malware-aanvallen kan zijn wanneer aanvallers software manipuleren van een bron die de klant vertrouwt en schadelijke code in die software plaatsen. Codeondertekening pakt beide problemen aan.
Een punt om op te merken is dat codeondertekening weliswaar noodzakelijk is, maar niet voldoende om malware te voorkomen – bijvoorbeeld als de sleutels die voor codeondertekeningscertificaten worden gebruikt, zelf gecompromitteerd zijn. Sleutelbeheer is daarom een even belangrijk aandachtspunt en zal in een apart artikel worden behandeld.
Verbeterd merk en reputatie
Naast de financiële impact heeft een malware-aanval ook een negatieve impact op de reputatie, waardoor de geloofwaardigheid van de organisatie snel wordt geschaad en er vragen rijzen over de beveiligingspraktijken van elk bedrijf. Codeondertekening biedt een 'digitale krimpfolie'-verzegeling aan uw software – het bevestigt de authenticiteit van de software aan uw klant en waarschuwt de klant als de verzegeling is gemanipuleerd.
Zelfs als er bijvoorbeeld maar één bit in de software wordt gewijzigd, komt de hash die wordt gebruikt om de software te ondertekenen niet overeen met de hash van de gedownloade software. Dit waarschuwt de klant om de software niet te installeren en voorkomt zo een inbreuk. Het netto-effect is een verbetering van het merk en de reputatie van uw bedrijf in de ogen van uw klanten.
Toename van het vertrouwen van klanten
Zonder codeondertekening worden er door de browser en het besturingssysteem beveiligingswaarschuwingen en meldingen aan de gebruiker getoond. Dit kan leiden tot twijfel bij de gebruiker en tot verlies van vertrouwen in de software.
Het vertrouwen van klanten kan verder worden ondermijnd door een malware-aanval, vooral als de analyse van de hoofdoorzaak wijst op het ontbreken van codeondertekening als een van de redenen voor de aanval. Het ondertekenen van code is een uitstekende manier om het vertrouwen van klanten te vergroten door hen duidelijk te maken dat de organisatie er alles aan doet om de veiligheid en integriteit van de software die ze distribueert te waarborgen.
Vergroot het distributiebereik en de installatiebasis voor uw software
Online distributie van software is tegenwoordig de facto geworden, gezien de snelheid waarmee software op de markt komt, lagere kosten, schaalbaarheid en efficiëntievoordelen ten opzichte van traditionele softwaredistributiekanalen zoals fysieke winkels of software-cd's die naar klanten worden verzonden. Codeondertekening is een must voor online distributie. Zo vereisen externe softwarepublicatieplatforms steeds vaker dat applicaties (zowel desktop als mobiel) worden ondertekend voordat ze toestemming geven voor publicatie.
Zelfs als u een groot aantal gebruikers kunt bereiken, zonder codeondertekening, zijn de waarschuwingen die worden weergegeven tijdens het downloaden en installeren van niet-ondertekende software vaak voldoende om de gebruiker ervan te weerhouden verder te gaan met downloaden en installeren. Sterker nog, de algemene trend is dat besturingssystemen het steeds moeilijker maken voor gebruikers om niet-ondertekende software te installeren door hen te vragen meerdere handmatige stappen te doorlopen en de standaardbeveiligingsinstellingen te negeren.
In bedrijven komt niet-ondertekende software vaak op de "zwarte lijst" terecht, oftewel de lijst met software die het IT-team niet mag downloaden en installeren. Codeondertekening kan deze problemen aanpakken, software-uitgevers helpen een groter publiek te bereiken en de downloadsnelheid en installatiebasis van software te verhogen.
Volgens een onderzoek van het Accenture- en Ponemon-instituut www.helpnetsecurity.com/2019/03/07/cyberattack-cost-2018/
