Hur CA/B-forumet säkerställer kodsignering?

Hur säkerställer CA/B-forumet kodsignering?

Har du någonsin undrat varför viss programvara installeras på ditt system utan några varningar medan annan utlöser en varning som säger "Programvaran kommer inte från en betrodd källa"? Detta är inte slumpmässigt; allt handlar om kodsignering. Det är ett system som är utformat för att verifiera legitimiteten hos den programvara du ska installera. I centrum för detta är  CA/Webbläsarforum (CA/B-forum), som sätter standarder för att upprätthålla det förtroendet. Låt oss utforska hur. 

Kodsignering använder Public Key Infrastructure (PKI) för att säkerställa att programvaran är pålitlig. Utvecklare signerar sin programvara med en privat nyckel, och ett digitalt certifikat från en betrodd certifikatutfärdare (CA) verifierar deras identitet. Certifikatet innehåller en offentlig nyckel som användarnas system använder för att kontrollera programvarans signatur och bekräfta att den inte har manipulerats. CA/Browser Forum fastställer riktlinjer för betrodda certifikatutfärdare för att utfärda dessa certifikat, vilket säkerställer att endast säker, verifierad programvara når användare. Denna process skyddar användare från att installera skadlig programvara.

Vad är CA/B-forumet egentligen?

CA/Browser Forum (CA/B Forum) är en grupp som inkluderar nyckelaktörer i den digitala världen, såsom Certifikatutfärdare (CA:er)) som GlobalSign, Sectigo, Entrust och DigiCert, samt webbläsarleverantörer som Google och Mozilla och operativsystemleverantörer som Microsoft och Apple. Dessa organisationer samarbetar för att definiera standarder och bästa praxis för användning av digitala certifikat, inklusive de som används vid kodsignering.

Målet är att säkerställa säkerheten och tillförlitligheten för programvara och webbplatser så att användarna kan vara säkra på att de interagerar med legitima, verifierade källor. CA/B-forumet spelar en avgörande roll i att fastställa riktlinjer som styr hur certifikat utfärdas och hanteras, vilket bidrar till att skydda onlinevärlden från hot som skadlig programvara och bedrägerier. 

Historia och syfte

CA/B Forum grundades 2005 och fokuserade initialt på att förbättra Utökad validering (EV) certifikat för att öka förtroendet för webbplatsanvändare. Med tiden utökades det till att omfatta alla aspekter av hantering av digitala certifikat, inklusive servercertifikat och kodsignering. Forumet skapar "Baseline Requirements", som är riktlinjer för certifikatutfärdare om hur certifikat ska utfärdas och hanteras. Dessa standarder säkerställer konsekvens och säkerhet över hela internet. Organisationer går frivilligt med i forumet för att arbeta tillsammans med att skapa branschstandarder för digitala certifikat, utan någon rättslig skyldighet. Denna frivilliga grupp av certifikatutfärdare och leverantörer av webbläsare, där även leverantörer av andra applikationer som använder X.509 digitala certifikat för TLS/SSL och kodsignering är en del av forumet.

CA/Browser Forums grundkrav (BR) för kodsigneringscertifikat anger strikta regler för hur certifikatutfärdare (CA:er) utfärdar och hanterar kodsigneringscertifikat. Dessa krav påverkar flera säkerhetsstandarder och regleringar världen över. 

Till exempel: 

• NIST (National Institute of Standards and Technology) hänvisar till BR i sina kryptografiska riktlinjer (t.ex. NIST SP 800-57 för nyckelhantering och NIST SP 800-63 för digital identitet). Detta säkerställer säker lagring av privata nycklar och verifiering av signaturer.
• ETSI (European Telecommunications Standards Institute) anpassar sina EN 319 411-1/2-standarder till BR:er för betrodda kodsigneringscertifikat i Europa, vilket säkerställer efterlevnad av eIDAS-förordningarna.
• Microsoft, Apple och Google kräver att CA:er följer BR:er för att utfärda kodsigneringscertifikat för utökad validering (EV), vilket säkerställer programvarans äkthet och integritet i deras ekosystem.
• WebTrust för kodsignering granskar om certifikatutfärdare följer BRs innan de kan utfärda betrodda certifikat.
• ISO 21188 (Public Key Infrastructure) införlivar BR-principer för att standardisera säkerheten för digitala signaturer inom olika branscher.

På grund av dessa faktorer bidrar BR:er till att skapa en enhetlig global standard för kodsignering, vilket säkerställer att programvaruutgivare och slutanvändare kan lita på att signerade applikationer och uppdateringar inte har manipulerats. 

Kontinuerlig förbättring av kodsigneringsstandarder

För att säkerställa att kodsigneringsmetoder förblir säkra har CA/B Forum konsekvent förfinat sina kodsigneringsgrundkrav (CSBR) genom olika revideringar. Sedan det första antagandet av version 1.2 i augusti 2019 har varje uppdatering åtgärdat nya säkerhetshot och branschbehov. 

Till exempel drevs övergången till RSA-3072 och SHA-2 tidsstämpeltokens år 2020 (version 2.1) av behovet av starkare kryptografisk säkerhet. RSA-3072 valdes eftersom ökad beräkningskraft gjorde mindre nycklar som RSA-2048 mer sårbara för attacker, vilket säkerställde långsiktig säkerhet. Införandet av SHA-2 tidsstämpeltokens förbättrade tillförlitligheten hos signerad kod genom att ge starkare kryptografisk integritet. 

En stor förändring skedde i juni 2022 (version 3.0) med antagandet av RFC 3647-ramverket, vilket standardiserade certifikatpolicyer och förbättrade tydligheten i efterlevnadskrav. Nyare uppdateringar under 2023 och 2024, såsom förbättringar av skydd av privata nycklar och signeringstjänster, stärkte ytterligare säkerhetsställningen i kodsigneringsprocessen. Dessa uppdateringar hjälper branschen att ligga steget före säkerhetsutmaningar och säkerställer pålitliga och kompatibla lösningar för utvecklare och användare. 

För en fullständig historik över revisioner och detaljerade ändringar, se Sida om krav på kodsignering av CA/B-forumet. 

Kodsignering: Programvaran "Förtroendet"  

Om du undrar vad kodsignering är, tänk på det som mjukvarans motsvarighet till en signatur på ett juridiskt dokument. När utvecklare färdigställer en mjukvara använder de ett kodsigneringscertifikat för att signera den digitalt. Detta bekräftar att mjukvaran är äkta och kommer från en verifierad källa, vilket säkerställer att den är igenkänd och betrodd. 

Certifikatutfärdare (CA:er) ansvarar för att utfärda dessa certifikat, men det är inte vem som helst som kan distribuera dem. CA/B-forumet sätter strikta standarder för hur certifikatutfärdare ska utfärda och hantera kodsigneringscertifikat, vilket säkerställer säkerhet och förtroende. Om programvaran inte är korrekt signerad kan din enhet varna dig för att den kan vara riskabel. Men med ett betrott certifikat kan du fortsätta med förtroende. En digital signatur säkerställer både äkthet (verifierar vem som signerade programvaran) och integritet (säkerställer att koden inte har ändrats efter signering). Utan kodsignering kan hackare enkelt dölja skadlig programvara som legitim programvara. För att skapa dessa digitala signaturer måste utvecklare erhålla certifikat från certifikatutfärdare som följer forumets fastställda riktlinjer. 

Hur säkerställer CA/B-forumet efterlevnad med hjälp av certifikatutfärdare?

CA:er är skyldiga att genomgå regelbundna revisioner som utförs av oberoende tredje parter. Dessa revisioner verifierar att CA:erna följer forumets standarder och åtgärdar eventuella sårbarheter i sina system.  

CA:er måste genomgå årliga revisioner enligt ramverk som WebTrust för CA:er eller ETSI EN 319 411-1/2 för att verifiera efterlevnaden av säkerhetsstandarder. Vid säkerhetsincidenter, såsom intrång eller felaktig utfärdande, måste CA:er rapportera dem omedelbart och vidta korrigerande åtgärder. 

Om en säkerhetsincident inträffar, som ett säkerhetsintrång eller ett felaktigt utfärdat certifikat, måste certifikatutfärdare rapportera det omedelbart och vidta korrigerande åtgärder. Denna nivå av transparens och ansvarsskyldighet bidrar till att bygga förtroende för säkerheten hos digitala certifikat. Icke-kompatibla certifikatutfärdare riskerar att bli borttagna från betrodda arkiv som Mozillas eller Microsofts, vilket kan göra deras certifikat opålitliga. Denna nivå av transparens och ansvarsskyldighet bidrar till att bygga förtroende för säkerheten hos digitala certifikat. 

National Institute of Standards and Technology (NIST) tillhandahåller också värdefulla riktlinjer för infrastruktur för offentliga nyckelr (PKI), vilka ligger nära CA/B Forums standarder. Du kan utforska dessa riktlinjer på NIST webbplats.

Hur sätter CA/B-forumet standarder för kodsignering?

Låt oss titta på hur CA/B-forumet påverkar kodsigneringsstandarder:

1. Skydda privata nycklar

   Vid kodsignering använder en utvecklare en privat nyckel för att skapa en "förtroendesigill" eller digital signatur. Om en hackare får tillgång till denna nyckel kan de signera skadlig programvara och få den att verka legitim. För att förhindra detta kräver CA/B-forumet att privata nycklar måste lagras säkert, helst på hårdvarusäkerhetsmoduler (HSM) eller kryptografiska tokens.

   Enligt de nya reglerna för CA/B-forumet måste nyckellagring uppfylla FIPS 140-2/3-standarderna, vilket säkerställer en högre säkerhetsnivå. Säkra enheter som HSM:er är mycket svårare att komma åt än vanliga datorer, vilket gör det betydligt svårare för hackare att stjäla privata nycklar.

2. Strikt verifiering för certifikat

   Innan ett kodsigneringscertifikat utfärdas måste en certifikatutfärdare (CA) verifiera identiteten på den utvecklare eller organisation som begär det. Denna process följer riktlinjer som fastställts av CA/B-forumet och varierar beroende på certifikattyp – organisationsvalidering (OV) eller utökad validering (EV).

   För både OV- och EV-kodsigneringscertifikat verifierar CA:n organisationens juridiska existens genom att kontrollera officiella myndighetsregister eller betrodda företagskataloger. Den bekräftar också den fysiska adressen med hjälp av tillförlitliga källor och utför telefonvalidering genom att ringa ett offentligt listat företagstelefonnummer. Dessutom säkerställer CA:n att sökanden har behörighet att begära certifikatet för organisationens räkning.

   Ytterligare verifieringssteg gäller för kodsigneringscertifikat för elbilar. CA måste bekräfta att organisationen har varit verksam under en viss period, vanligtvis genom att granska företagsregistreringsuppgifter. Sökanden måste också genomföra en personlig eller motsvarande identitetsverifieringsprocess.

   När certifikatet har verifierats utfärdar CA kodsigneringscertifikatet, vilket gör det möjligt för organisationen att signera programvara digitalt. Detta hjälper operativsystem och säkerhetsverktyg att bekräfta programvarans äkthet och förhindrar manipulation eller obehöriga modifieringar.

3. Återkallelsesregler

   Om ett kodsigneringscertifikat komprometteras (till exempel en privat nyckel blir stulen) måste det återkallas omedelbart för att förhindra missbruk. CA/B-forumet fastställer specifika riktlinjer för när och hur certifikatutfärdare (CA:er) ska återkalla dessa certifikat. Enligt grundkraven för utfärdande och hantering av kodsigneringscertifikat måste CA:er återkalla ett certifikat inom 24 timmar om de upptäcker obehörig användning eller nyckelkompromettering.

   För att framtvinga återkallelse underhåller CA:er certifikatutfärdare (CA:er), certifikatåterkallningslistor (CRL:er) och tillhandahåller Online Certificate Status Protocol (OCSP)-svar, vilket gör det möjligt för system att verifiera om ett certifikat fortfarande är giltigt innan de litar på signerad programvara. OCSP-häftning är dock att föredra framför CRL:er eftersom det är mer effektivt. CRL:er kräver att system laddar ner en hel lista över återkallade certifikat, vilket kan vara långsamt och resurskrävande. Däremot tillåter OCSP-häftning servern att tillhandahålla ett förvaliderat OCSP-svar under TLS-handskakningen, vilket minskar behovet av CA-sökningar i realtid och förbättrar prestandan.

   Om ett återkallat certifikat används kan operativsystem och säkerhetsmekanismer blockera programvaran, vilket förhindrar angripare från att distribuera skadlig kod under en betrodd identitet. Dessa åtgärder säkerställer att komprometterade certifikat snabbt ogiltigförklaras, vilket upprätthåller förtroendet för signerade applikationer. För mer information, se CA/B Forums officiella Code-Signing-Baseline-Requirements.

Procedur för CA/B Forums granskningar av certifikatutfärdare och kodsignering

Innan granskning fastställer CA/B-forumet tydliga baskrav (BR) för CA:er. Dessa riktlinjer täcker allt från hur certifikat ska utfärdas till hur privata nycklar skyddas. För kodsigneringscertifikat fastställer forumet även standarder för att säkerställa att programvaran är verifierad och säker att använda.

När kraven är fastställda börjar granskningsprocessen. Granskningsprocessen för certifikatutfärdare (CA) börjar med en förgranskning där CA:n tillhandahåller detaljerad information om sina rutiner, som hur den utfärdar certifikat och skyddar privata nycklar. Sedan kommer granskningen på plats, där oberoende granskare kontrollerar om CA:n följer CA/B-forumets regler, som att skydda nycklar och hantera certifikatåterkallelser.

Ibland kan penetrationstester också utföras för att hitta eventuella svagheter i CA:s system. Om CA inte följer reglerna måste den åtgärda problemen och kan få påföljder. Slutligen genomförs regelbundna uppföljningsrevisioner för att säkerställa att CA fortsätter att uppfylla de erforderliga standarderna och förblir säker. Denna process hjälper till att upprätthålla förtroendet för digitala certifikat.   

För kodsigneringsdelen måste CA först verifiera programvaruutvecklarnas identitet innan certifikat utfärdas. Därefter kontrollerar granskare utfärdandeprocessen för att säkerställa att den följer korrekta säkerhetsprotokoll. CA måste också övervaka signerad programvara för att upptäcka eventuella obehöriga ändringar. Om ett certifikat komprometteras måste CA omedelbart återkalla det. Denna grundliga granskning hjälper till att säkerställa att programvaran är pålitlig och säker.   

Genom en grundlig granskningsprocess säkerställer CA/B-forumet att certifikatutfärdare (CA:er) och utvecklare utfärdar kodsigneringscertifikat i enlighet med strikta säkerhetsstandarder. Dessa granskningar överensstämmer med erkända efterlevnadsramverk som WebTrust för CA:er och ETSI EN 319 411-1/2, vilka fastställer bästa praxis för certifikatutfärdande. nyckelhanteringoch återkallningsprocesser. WebTrust för CA:er är allmänt implementerat i Nordamerika, vilket säkerställer att CA:er uppfyller rigorösa säkerhets- och driftskontroller, medan ETSI EN 319 411-1/2 definierar liknande krav för europeiska leverantörer av betrodda tjänster. Genom att följa dessa ramverk upprätthåller CA:er integriteten hos digitala certifikat, vilket säkerställer förtroende i hela det digitala ekosystemet. För mer information, besök CA/B Forums webbplats.

Nya krav för kodsignering: Vad du behöver veta

CA/B-forumet har infört några viktiga förändringar i hur kodsigneringscertifikat utfärdas, särskilt när det gäller att skydda privata nycklar. Tidigare kunde icke-EV-nyckelpar (Extended Validation) genereras i programvara, vilket gjorde det enkelt att kompromettera den privata nyckeln. Men nu är saker och ting mycket säkrare!   

För att uppfylla de nya kraven måste nyckelparet för både EV- och icke-EV-kodsigneringscertifikat genereras och lagras i en hårdvarusäkerhetsmodul (HSM). Denna modul måste uppfylla minst kraven. FIPS 140-2 nivå 2 eller Common Criteria EAL 4+ standarder. Vad innebär detta för dig? Den privata nyckeln måste vara icke-exporterbar, vilket säkerställer att den förblir säkert innesluten i HSM och inte kan extraheras eller kopieras. Med den privata nyckeln låst i hårdvara blir obehörig åtkomst eller missbruk mycket svårare, vilket stärker den övergripande säkerheten för kodsigneringsprocessen. 

Verkliga exempel på CA/B-forumets inverkan

Till att börja med stals ett stort mjukvaruföretags privata nyckel. Utan CA/B Forums mandat att använda hårdvarubaserad nyckellagring skulle angripare kunna släppa ut skadlig kod förklädd till legitima uppdateringar. Tack vare dessa regler är sådana incidenter sällsynta, eftersom företag uppmuntras (och ofta är skyldiga) att använda hårdvarubaserade säkerhetsåtgärder. Enligt forumets riktlinjer måste privata nycklar genereras och lagras på säker hårdvara, såsom en HSM eller en betrodd token. Dessutom lägger Extended Validation (EV) Code Signing till ett extra säkerhetslager genom att kräva strängare identitetsverifiering för organisationer innan ett certifikat utfärdas.

Detta inkluderar verifiering av juridisk identitet, operativ existens och telefonvalidering. EV-certifikat kräver också obligatorisk hårdvarubaserad lagring för privata nycklar, vilket säkerställer att de inte kan exporteras eller missbrukas. Om det visar sig att inloggningsuppgifterna har manipulerats eller äventyrats återkallas certifikaten omedelbart, vilket skyddar företagets säkerhet och integritet. 

Ett annat exempel är hur operativsystem och webbläsare använder CA/B Forum-kompatibla certifikat för att avgöra vilken programvara som är "säker". Om du försöker installera osignerad programvara kan Windows Defender SmartScreen eller macOS Gatekeeper flagga det med en varning som uppmanar till försiktighet. Programvara som är signerad med ett EV-kodsigneringscertifikat bygger upp ett rykte snabbare med dessa säkerhetsmekanismer, vilket minskar onödiga varningar och säkerställer en smidigare användarupplevelse samtidigt som starka säkerhetsskydd bibehålls.

Hur säkerställer CodeSign Secure fullständig efterlevnad av CA/B-forumets riktlinjer?

Krypteringskonsulttjänster CodeSign Secure gör kodsigneringsprocessen enkel och säker, vilket säkerställer full överensstämmelse med CA/B Forums riktlinjer. Vi ska nu se hur det fungerar.

• Strömlinjeformad kodinlämning och autentisering: När du skickar in din kod autentiserar och verifierar CodeSign Secure dess integritet för att uppfylla branschens säkerhetsstandarder. Det säkerställer att din kod uppfyller CA/B Forums strikta säkerhetskrav från början, vilket säkerställer att din kod är betrodd och säker.
• Nyckelskydd med HSM-integration: Privata nycklar lagras säkert i hårdvarusäkerhetsmoduler (HSM) och följer helt CA/B Forums nyckelskyddsstandarder. Detta garanterar att dina nycklar är skyddade från obehörig åtkomst, vilket håller din kodsigneringsprocess säker och kompatibel.
• Sömlös och kompatibel kodsignering: CodeSign Secure signerar din kod med certifikat som uppfyller de senaste kraven för CA/B Forum Code Signing Baseline Requirements (CSBR). Du kan vara säker på att din kod är signerad enligt högsta branschstandarder, att användarnas förtroende bibehålls och att säkerhetsprotokoll följer gällande riktlinjer.
• Tillförlitlig tidsstämpling för långsiktig giltighet: Att tidsstämpla din signerade kod säkerställer dess giltighet även efter att certifikaten har löpt ut. CodeSign Secure lägger automatiskt till tidsstämplar i din signerade kod, vilket överensstämmer med CA/B Forums riktlinjer och upprätthåller långsiktigt förtroende för din programvara.
• Automatiserad livscykel- och återkallningshantering: Med automatiserad hantering av återkallelser och fullständig livscykelhantering säkerställer CodeSign Secure att din signerade kod förblir i enlighet med löpande uppdateringar av CA/B Forums riktlinjer. Detta garanterar långsiktig säkerhet för din kod, med flexibilitet att anpassa sig till framtida förändringar i säkerhetskrav.

Varför ska allt detta betyda något för dig?  

För oss gör dessa standarder skillnad varje gång vi laddar ner programvara. Eftersom CA/B-forumet anger de regler som CA:er måste följa kan vi i allmänhet lita på de certifikat som kommer från dem. En liten fråga: Vad avbildar denna förtroendekedja, och vad används den till?  

Denna förtroendekedja består av rot-CA:er, mellanliggande CA:er och slutenhetscertifikat, vilket säkerställer att programvara från välrenommerade källor sannolikt inte skadar din enhet. Rot-CA:n är den högsta myndigheten och betrodd av operativsystem och webbläsare. Den utfärdar certifikat till mellanliggande CA:er, som sedan validerar och utfärdar certifikat till slutenheter, såsom programvaruutgivare. Eftersom varje certifikat är signerat av en enhet med högre betrodd status, förhindrar denna skiktade metod obehöriga parter från att utfärda bedrägliga certifikat. Som ett resultat har skurkar svårare att smyga sig in, och användare kan lita på att programvara som signerats med ett giltigt certifikat kommer från en legitim källa.  

Hur kan krypteringskonsulting hjälpa till?

På Encryption Consulting hjälper vi till att göra kodsignering säker med lösningar som Samdesign säker och Certifikat Lifecycle Management, vilket säkerställer att du följer CA/B Forums riktlinjer. Våra tjänster hjälper dig att hantera dina kodsigneringscertifikat från början till slut, och ser till att de utfärdas, övervakas och återkallas korrekt vid behov. 

Vi tillhandahåller också PKI och HSM-tjänster för att skydda dina kryptografiska nycklar. Med hjälp av hårdvarusäkerhetsmoduler (HSM) lagrar vi dina privata nycklar säkert och skyddar dem från obehörig åtkomst. 

Med dessa lösningar kan du hålla din programvara pålitlig, uppfylla efterlevnadsstandarder och minska risken för att certifikat komprometteras. För mer information om säker kodsignering, besök vår Education Center. 

Slutsats   

Nästa gång du installerar ett program utan krångel kan du tacka CA/B Forum för att de garanterar starka skydd, såsom säker nyckellagring, rigorös verifiering och återkallningsprotokoll; de hjälper den digitala världen att fungera säkert. Det är lite som den första försvarslinjen för webbplatser och programvara, att hålla borta skadlig programvara så att vi alla kan njuta av en bättre och säkrare digital upplevelse.    

För att sammanfatta det vi diskuterade är CA/B Forums roll att upprätthålla förtroende, oavsett om det gäller de webbplatser du besöker eller den programvara du förlitar dig på. Deras standarder säkerställer att vi som digitala konsumenter har ett lager av skydd mot onlinevärldens okända faktorer.