De wereld van softwareontwikkeling verandert met de tijd. Met steeds geavanceerdere bedreigingen wereldwijd, moeten er geavanceerdere mechanismen worden gebruikt in de levenscyclus van softwareontwikkeling. Enkele van de nieuwere methoden die worden gebruikt in Continue integratie/continue ontwikkeling (CI/CD) Pipelines zijn AI- en open-sourcetools. Deze tools maken de ontwikkeling van software veel sneller en eenvoudiger.
Het kan echter veel problemen veroorzaken bij beveiligingsteams binnen een organisatie. Het is veel moeilijker voor beveiligingsteams om een open-source- of AI-tool te controleren, omdat de open-sourcetools vaak niet worden gecontroleerd op hun betrouwbaarheid, terwijl AI-tools zich nog niet in een fase bevinden waarin ze volledig betrouwbaar zijn in de softwareontwikkelingscyclus, omdat AI nog steeds fouten maakt.
Hoewel AI en open-sourcetools ontwikkelaars helpen bij het automatiseren van veel processen en het versnellen van de CI/CD-pipeline, zorgt dit voor een probleem bij beveiligingsteams. De zorg is dat ontwikkelaars snelheid belangrijker vinden dan beveiliging. Door snelheid boven beveiliging te stellen, worden veel aanvalsvectoren toegankelijk voor cybercriminelen met deze AI en open-sourcetools.
Bovendien willen ontwikkelaars concurrerend blijven met ontwikkelaars van andere bedrijven, dus het niet gebruiken van tools zoals AI zal hen achterop laten lopen en daarmee een achterstand opleveren ten opzichte van concurrenten. Voordat we ingaan op de bedreigingen die deze tools met zich meebrengen, kijken we eerst naar code signing en CI/CD-pipelines.
Inzicht in CI/CD-pipelines en codeondertekening
Codeondertekening is een relatief eenvoudig proces om te begrijpen en het begint met een Public Key Infrastructure of PKIDe ondertekenaar vraagt een codeondertekeningscertificaat aan bij de PKI en ontvangt zo het openbare-privésleutelpaar dat hij/zij kan gebruiken om de code te ondertekenen. Het sleutelpaar bestaat uit een openbare sleutel, die wiskundig gekoppeld is aan de privésleutel. De openbare sleutel is een sleutel die iedereen kan zien en gebruiken, terwijl de privésleutel alleen door de certificaathouder kan worden gebruikt. Het doel van dit codeondertekeningscertificaat is dat de ondertekening van de code gekoppeld is aan de specifieke gebruiker die eigenaar is van dat certificaat.
Het eigenlijke codeondertekeningsproces omvat hashing Eerst de code. Hashing is een proces waarbij code of een document in een hashing-algoritme wordt ingevoerd. Dit algoritme zet het bestand vervolgens om in een hash-digest, die onleesbaar is. Net als bij encryptie bestaat de hash-digest uit een onleesbare combinatie van letters en cijfers; in tegenstelling tot encryptie is hashing echter eenrichtingsverkeer. Dit betekent dat de hash-digest nooit kan worden teruggedraaid om de oorspronkelijke tekst te verkrijgen.
Deze hash wordt vervolgens naar een Hardwarebeveiligingsmodule (HSM) die de privésleutel van het codeondertekeningscertificaat opslaat, en die privésleutel wordt gebruikt om een handtekening voor de code te genereren. De handtekening wordt vervolgens teruggestuurd naar de client en gebundeld met de code. Deze handtekening garandeert dat de ondertekenaar bevestigt dat de code vrij is van malware of virussen.
Nu we begrijpen hoe codeondertekening werkt, waar werkt het dan in de CI/CD-pipelines die softwareontwikkelaars gebruiken? Een CI/CD-pipeline maakt gebruik van meerdere tools voor elke fase van de softwareontwikkelingscyclus, wat het softwareontwikkelingsproces automatiseert en vereenvoudigt. Tools zoals Jenkins kunnen worden geïntegreerd met codeondertekening om als laatste stap een digitale handtekening te creëren.
Tools zoals SBOM kunnen worden gebruikt voordat code in GitHub wordt geplaatst om te controleren op een bepaald aantal kwetsbaarheden. Virusscanners kunnen code ook gedurende het hele proces op virussen scannen, waardoor eindgebruikers vertrouwen krijgen in hun computersoftware. Zoals u ziet, kunnen tools zoals AI of open-sourcetools een geweldige manier zijn om uw CI/CD-pijplijn te versnellen, maar door deze tools te gebruiken, brengt u de beveiliging in gevaar ten koste van de snelheid, wat nooit wordt aanbevolen.
Bedreigingen voor open source- en AI-tools
Open-source- of AI-tools zijn geweldige manieren om uw CI/CD-pijplijn te verbeteren en te versnellen, maar er kleven veel beveiligingsproblemen aan deze nieuwe tools. Open-sourcetools leveren problemen op met de veiligheid. Omdat de tools open source zijn, kunt u niet verifiëren waar ze vandaan komen of wie ze heeft gewijzigd of bijgewerkt. Dit veroorzaakt beveiligingsproblemen, omdat u software wilt leveren waarvan een eindgebruiker erop kan vertrouwen dat deze veilig is ontwikkeld en beheerd.
Open-sourcetools kunnen kwetsbaarheden in een CI/CD-pijplijn creëren, waardoor kwaadwillenden nieuwe aanvalsmogelijkheden krijgen om slachtoffers te infecteren met malware en virussen. Er zijn veel verschillende factoren betrokken bij het gebruik van AI-tools. AI-tools introduceren het idee van privacyrisico's of problemen met intellectueel eigendom, wat problemen kan opleveren bij de verwerking van klantgegevens.
Een van de manieren waarop u deze bedreigingen en problemen kunt aanpakken, is door een balans te vinden tussen uw beveiligings- en snelheidskeuzes. Zorg ervoor dat uw pipeline een goede snelheid heeft zonder dat dit ten koste gaat van de beveiliging. Het is ook erg belangrijk om ervoor te zorgen dat uw CI/CD-pipeline voldoende beveiligd is en toch snel en efficiënt kan werken. Het vinden van die balans kan lastig zijn om concurrerend te blijven, maar op de lange termijn zal het u veel helpen.
Conclusie
Het vinden van de juiste balans tussen snelheid en beveiliging is erg belangrijk en kan een lastige opgave zijn voor een kleiner team. Gelukkig kan Encryption Consulting u helpen. Wij zorgen ervoor dat aan uw compliance-behoeften wordt voldaan, evenals aan uw codeondertekeningsbehoeften. Ons platform, CodeSign Securebiedt een aantal verschillende bronnen die u binnen uw CI/CD-pijplijnen kunt gebruiken.
Naast codeondertekening kunt u met CodeSign Secure de SBOM-integraties gebruiken om code te scannen op kwetsbaarheden voordat u deze uploadt naar GitHub. U kunt ook integreren met uw bestaande CI/CD-pipelines, zoals Jenkins, TeamCity of Azure DevOps. Neem voor meer informatie over CodeSign Secure contact met ons op via www.encryptionconsulting.com.
