Dieser Blog wurde gemeinsam mit Robert Masterson von Thales verfasst.
In der heutigen Entwicklungsumgebung ist es für jede Organisation wichtig, Code Signing einzusetzen, um sicherzustellen, dass die Anwendungen und Updates, die sie an die Endbenutzer liefern, vertrauenswürdig sind. Dies beginnt beim Build-Prozess und reicht bis zur Veröffentlichung, um Code mit einem hohen Maß an Authentizität und Integrität zu entwickeln.
In der realen Welt jedoch, in der die Entwicklung agiler und gleichzeitig komplexer geworden ist, hat die Implementierung sicherer Code-Signing-Praktiken in großem Umfang nun erhebliche Sicherheitsauswirkungen. Wenn Sie Code entwickeln, Container aufsetzen oder Anwendungen in der Cloud ausführen, müssen Sie die mit dem Code Signing verbundenen Risiken ernsthaft in Betracht ziehen und überlegen, wie Sie im Falle eines Vorfalls reagieren können.
Geheimnisse sind Ihr wichtigstes Sicherheitsgut in jeder Entwicklungsumgebung, insbesondere Ihre Code-Signierschlüssel. Wenn private Schlüssel, die zum Signieren von Code verwendet werden, in die Hände eines Angreifers gelangen, sei es durch versehentliche Offenlegung oder eine Lücke im Netzwerk, können sie dem Unternehmen schweren Schaden zufügen. IT- und Sicherheitsteams können Stunden oder sogar Tage brauchen, um das Problem zu beheben, was Ressourcen bindet und ungewollte Ausfallzeiten verursacht.
Neben den Sicherheitsproblemen, die mit der agilen Entwicklung einhergehen, benötigen die Entwickler selbst Möglichkeiten, um auf Code Signing-Zertifikate zuzugreifen, ohne ihre Arbeitsabläufe oder Tools zu behindern. Oft stehen Zertifikatsadministratoren und Infosec-Operationen im Widerspruch zu einer Entwicklungsphilosophie, bei der der Schwerpunkt auf kontinuierlicher Bereitstellung und Integration und nicht auf Risikominderung liegt.
Im Folgenden sind einige der Probleme aufgeführt, mit denen moderne IT-Organisationen bei der Implementierung von Code Signing in großem Umfang konfrontiert werden:
- Nichtnutzung von hardware zur Sicherung sensibler privater Schlüssel, die an Code Signing-Zertifikate gebunden sind. Zu oft sehen wir, dass Entwickler Code-Signing-Zertifikate in Dateisystemen, auf Workstations oder Build-Servern speichern oder sogar per E-Mail zwischen Entwicklern austauschen, anstatt sie sicher in einem HSM zu speichern.
- Die Durchsetzung von Genehmigungsprozessen und rollenbasierten Zugriffskontrollen für die Verwendung von Code Signing-Zertifikaten ist für viele Unternehmen immer noch ein Problem. Da das Personal wechselt, kann es auch sehr schwierig sein, den Überblick darüber zu behalten, wo sich Code-Signing-Zertifikate befinden und wer Zugriff darauf hat.
- Viele Unternehmen tun sich immer noch schwer damit, geografisch verteilten Entwicklungsteams den Zugriff auf Code Signing-Zertifikate zu ermöglichen, was es auch schwieriger macht, das Signieren zu ermöglichen, ohne den privaten Schlüssel preiszugeben und das Sicherheitsniveau der digitalen Signatur zu riskieren, die Ihre software begleitet.
- Wenn es um Effizienz geht, kann die sichere Aufbewahrung von Code-Signatur-Zertifikaten auch zusätzliche Schritte für Entwickler bedeuten, was zu Verzögerungen in der Build-Pipeline oder im Veröffentlichungszyklus führt. Diese Verzögerungen resultieren häufig aus der Zeit, die für den Zugriff auf Code-Signaturzertifikate oder die Durchführung des Signiervorgangs selbst benötigt wird.
- Schließlich, und das ist vielleicht das Wichtigste, ist es unglaublich schwierig, alles, was mit Code Signing-Zertifikaten geschieht, zu verfolgen und zu protokollieren, um Audits durchzuführen und die Vorschriften einzuhalten.
Nachdem wir mit Dutzenden von Unternehmen gesprochen hatten, erkannten wir die Notwendigkeit, eine Lösung zu entwickeln, die diese erheblichen Hindernisse für Anwendungs- und Sicherheitsteams aus dem Weg räumt. Keyfactor und Thales schlossen sich zusammen, um eine integrierte Lösung - Keyfactor Code Assure - zu entwickeln, die es Entwicklern ermöglicht, schnell zu arbeiten, ohne auf die Sicherheit von Code Signing-Zertifikaten zu verzichten.
Mit Keyfactor Code Assure, das in das Thales Luna oder DPoD HSM integriert ist, können Entwicklungsteams von jedem beliebigen Ort aus auf Code Signing-Zertifikate zugreifen und diese zum Signieren von praktisch allem verwenden - von Container-Images und Binärdateien bis hin zu Artefakten und software Builds. Währenddessen bleiben die privaten Schlüssel im Thales HSM unter Verschluss, während die Entwickler ihre Arbeit effizient und sicher erledigen können.
Die Plattform Keyfactor Code Assure ermöglicht es Unternehmen,:
- Die direkte Integration mit einem Thales HSM bietet ein Höchstmaß an Schutz für private Schlüssel und stellt sicher, dass diese nie die Grenzen des HSM verlassen.
- Ermöglichen Sie Code-Signierungsvorgänge in großem Umfang, ohne die Geschwindigkeit oder Effizienz in Ihrem software Entwicklungslebenszyklus (SDLC) zu beeinträchtigen.
- Nutzen Sie einen Identitätsprovider, um designierten Besitzern von Code Signing-Zertifikaten die Möglichkeit zu geben, den Zugang auf der Grundlage bestimmter Kriterien wie Ort, Zeit oder Anzahl der Signiervorgänge freizugeben.
- Ermöglichen Sie Entwicklern mehrere Schnittstellen für die Verwendung von Code-Signatur-Zertifikaten, darunter ein Webportal, eine robuste API-Suite und eine Remote-CSP/KSP-Schnittstelle.
- Protokollieren Sie alle Code Signing-Aktivitäten, so dass Sie wissen, wer was, wann und mit welchem Code Signing-Zertifikat signiert hat.
- Verwendung vorhandener Signierwerkzeuge wie Microsoft SignTool und JarSigner, um zusätzliche Sicherheit in Ihre Signiervorgänge zu integrieren.
Die Möglichkeit, die Verwendung Ihrer Code Signing-Zertifikate zu kontrollieren und die privaten Schlüssel in einem HSM zu sichern, wird Ihr Unternehmen in die Lage versetzen, mit hoher Sicherheit und Vertrauen digital zu signieren. Keyfactor Code Assure in Kombination mit einem Cloud-basierten Thales Data Protection On Demand (DPoD) HSM oder einem Thales Luna HSM vor Ort hilft Ihnen, Ihre Code Signing-Vorgänge zu optimieren und Ihren Code in großem Umfang zu signieren.
Erfahren Sie mehr über: Keyfactor Code Assure
Erfahren Sie mehr über: Thales Data Protection On Demand (DPoD) HSM und Thales Luna HSM
Entdecken Sie, wie die Automatisierung des Lebenszyklus von Zertifikaten Ihnen helfen kann, DevOps- und Sicherheitsziele zu erreichen. Laden Sie das DevOps.com eBook herunter:
