Vad är kodsignering?

Om du är CISO eller har en motsvarande position inom någon organisation, skulle en av dina största mardrömmarna vara att försvarslinjen för datasäkerhet misslyckas. En sådan viktig modul relevant för dataskydd är KodsigneringOrganisationer måste vara medvetna om hot som kodsigneringsprocessen utgör och implementera rimliga rekommendationer för att hantera problemen.

Enligt en studie utförd av Venafi förstås det att av 320 deltagare från USA, Europa och Kanada mer än 28% implementera en definierad kodsigneringspolicy för att skydda certifikat som används för att signera kod. Det finns stor risk för förfalskning och stöld av certifikat av cyberhackare när korrekta policyer inte tillämpas för kodsignering.

Låt oss diskutera några scenarier av hotbilden för "kodsignering" när lämplig kodsigneringspolicy inte finns på plats.

Potentiella hot mot kodsignering

Stöld/förlust av privata signeringsnycklar: Privata signeringsnycklar måste skyddas med största omsorg. Många incidenter rapporteras regelbundet på grund av stöld av privata signeringsnycklar. Cyberbrottslingar med tillgång till dessa signeringsnycklar kan utge sig för skadlig kod/skadlig programvara som autentisk kod eller programvara. Dessa incidenter skulle orsaka enorma ekonomiska förluster samt förlust av varumärkesrykte. En enda komprometterad privat nyckel kan orsaka förödelse för hela företagets verksamhet.

Verkliga incidenter på grund av stöld av privata signeringsnycklar orsakade stor skada för de drabbade företagen. Även myndigheter drabbas av förlusten av privata nycklar och ett av de klassiska exemplen är attacken mot den malaysiska regeringen i november 2011 där legitima stulna certifikat användes för att signera skadlig programvara.
Komprometterad certifikatutfärdareDirekt attack inleddes mot certifikatutfärdare (CA) Att utfärda kodsigneringscertifikat kan orsaka allvarlig skada för företaget som använder certifikaten. Därför är det alltid lämpligt att säkerställa att bästa praxis följs av CA:er som utfärdar certifikat. Cyberattacker mot CA:er kan till och med leda till konkurs för företaget som utfärdar certifikat.

En sådan incident inträffade med en holländsk certifikatutfärdare – DigiNotar – år 2011. Certifikatutfärdaren komprometterades av hackare och utfärdade falska certifikat för många välrenommerade webbplatser, vilket så småningom resulterade i DigiNotars konkurs. Bästa praxis är att göra en bedömning av de granskningsprocesser som används av certifikatutfärdaren och de datasäkerhetsåtgärder som finns på plats innan man väljer certifikatutfärdare.
Användning av osäkra kryptografiska styrningskontroller: Användning av svaga och osäkra kryptografiska algoritmer för kodsigneringsprocessen skulle skapa sårbarheter som kan leda till cyberattacker, såsom brute force-attacker, för att hacka nycklar som används för kodsignering. Dåliga styrningskontroller kan orsaka intrång i utvecklings- och produktionssystem. Dessa säkerhetsbrister kan leda till att skadlig kod signeras och autentiseras.

IT-chefer bör överväga att implementera lämpliga styrningskontroller för att skapa en säker miljö. Att utföra lämpliga bedömningar av kodsigneringsprocesser skulle också förhindra oöverträffade intrång. Venafis forskningsundersökning om bästa praxis och processer för kodsignering som följs i USA, Kanada och Europa visade en häpnadsväckande bild av kodsigneringslandskapet.

Mer än 50% av respondenterna i USA, Kanada och Europa har antingen inga definierade kodsigneringsprocesser eller implementerar informella processer med inkonsekvens. Detta är en stor alarmerande oro för ITSO:er. 35% av respondenterna har ingen tydlig ägare för hanteringen av privata nycklar för kodsignering.

I många fall hanterar antingen utvecklingsteamet eller informationssäkerhetsavdelningen, eller båda, privata nycklar som används för kodsignering. Det är CISO:ernas ansvar att överväga att anlita ett internt team eller ett konsultföretag som har expertis inom kryptografi och kodsigneringsprocesser för en bättre och säker implementering av "kodsignering".