Organisationer spenderar enorma summor pengar på att skydda användarnas digitala identitet och åtkomsthantering, som deras användarnamn och lösenord. Mer resurser behövs för att hantera kodsigneringsnycklar, maskinidentiteter och certifikat eftersom den globala digitala ekonomin är beroende av säker infrastruktur och programvara. Digital transformation har fått företag att omvandla sin verksamhet till digitalisering och göra sina programvaruaffärer. Därför uppstår behovet av att skydda dessa kritiska infrastrukturer med hjälp av kodsigneringsmaskiner, vilket gör identitetshantering viktigare än någonsin.
Vad är kodsignering?
Kodsignering är ett sätt eller en metod för att lägga till en digital signatur till en del av en digital fil eller programvara så att dess äkthet kan verifieras när den används, inklusive programvarans integritet. Det hjälper till att garantera att mottagaren vet vem avsändaren eller författaren är och att den inte har manipulerats efter att den signerats. Tidigare användes kodsigneringsprogramvara huvudsakligen för att verifiera äktheten hos programvarukörbara filer som programuppdateringar, program och skalskript för att verifiera slutanvändarnas äkthet och integritet.
Hur fungerar kodsignering?
När en giltig maskinidentitet används för att signera programvara – till exempel en kodsigneringscertifikat och krypteringsnyckel—datorer kommer implicit att lita på och villkorslöst köra programvaran. Den giltiga kodsignaturen indikerar att koden kommer från den betrodda källan som signerade den och att den inte har manipulerats av en tredje part.
När den här processen äventyras kan cyberbrottslingar missbruka identiteter för kodsigneringsmaskiner för att smyga in skadlig kod som verkar komma från din organisation i din programvara. Men med den senaste tidens uppsjö av attacker mot programvaruleveranser där hackare infogar skadlig kod innan den slutliga programvaran signeras, används kodsignering nu också för att skydda mellanliggande programvaruartefakter som källkod, byggskript, programvarubibliotek, exekveringsbehållare som Docker och de verktyg som används av programvaruteamet för att bygga sin programvara.
Efter att ha signerat programvara med en giltig maskinidentitet – såsom en krypteringsnyckel och ett kodsigneringscertifikat – litar datorenheter implicit på och kör programvaran villkorslöst. Den giltiga kodsignaturen indikerar att koden kommer från den betrodda källan som signerade den och att den inte har manipulerats eller skadats av en tredje part. När denna process äventyras kan cyberbrottslingar missbruka kodsigneringsmaskinidentiteter för att smyga in skadlig programvara som verkar komma från din organisation.
Hur påverkar kodsigneringsmaskinens identitet säkerheten?
När användare gör en onlinetransaktion föredrar de att vara säkra på att de, när de loggar in på sitt bankkonto, lämnar sina inloggningsuppgifter till de avsedda bankerna och inte till någon angripare. På samma sätt är det bäst att se till att de program och uppdateringar som en användare avser att ladda ner är säkra och kommer från autentiska avsändare eller utgivare. För att uppnå detta måste användaren använda samma... Public Key Infrastructure (PKI) används för att säkra HTTPS-anslutningen. Kodsigneringsprocessen definieras som signering och verifiering av programvara med hjälp av maskinidentiteter.
När programfiler som – ett program, dokument, drivrutin, firmware, fil, mobilapplikation, container eller till och med ett skript signeras digitalt för att visa att det har skickats från en autentiserad källa och att informationen inte har manipulerats eller ändrats efter att den signerades. De tre nödvändiga punkterna som krävs i en kodsigneringsoperation är:
- Koden som ska signeras.
- A Certifikatmyndighet (CA) tidigare utfärdat ett offentligt kodsigneringscertifikat.
- En privat kodsigneringsnyckel ska användas för kryptering.
Efter att en organisation har kodsigneringscertifikatet och privat/offentlig PKI nyckelpar, utvecklare eller användare kan signera sin kod. Denna process varierar beroende på vilka typer av kod som signeras och hur ofta de släpps.
Hur ger EC:s CodeSign Secure säkerhet?
Krypteringskonsultföretagets CodeSign Secure Produkten lagrar de privata nycklarna till kodsigneringscertifikaten i en HSM för att eliminera alla typer av risker som är förknippade med skadade, stulna eller missbrukade nycklar. Vi har validerat kod mot uppdaterade antivirusdefinitioner för skadlig kod och virus innan vi digitalt signerar någon skadlig kod. På klientsidan har hashing aktiverats för att säkerställa byggprestanda och undvika onödig filflytt för ökad säkerhet.
Slutsats
EC:s CodeSign Secure tillhandahåller ett verktyg för kommandoradssignering som hjälper till med snabbare masssigneringsförfrågningar, dvs. flera filer kan signeras, där varje fil tar mindre än 0.2 sekunder. Dessutom kan robusta åtkomstkontrollsystem integreras med LDAP och anpassningsbara arbetsflöden för att minska risker i samband med att obehöriga användare får felaktig åtkomst och kan signera kod med skadliga certifikat. CodeSign Secure hjälper således till att bekräfta äktheten och originaliteten hos digital information, såsom en del programkod.
