Was Sie im Jahr 2023 von Code Signing erwarten können: Erhöhtes Bewusstsein, neue Vorschriften und mehr

Mit Blick auf das Jahr 2023 wird Code Signing wichtiger denn je sein - und das sagt schon einiges.

In der heutigen "Zero-Trust"-Umgebung ist das Signieren von Code ein wichtiger Schritt zum Schutz der Integrität von software und der Infrastruktur. Wenn es richtig gemacht wird, stellt die Codesignierung sicher, dass nur die richtigen Personen und Werkzeuge Zugang zum Signieren von Code haben, und diese Signatur ermöglicht es Benutzern und Geräten, zu bestimmen, welchen software sie vertrauen können - und welchen nicht.

Natürlich ist es wie überall in der Welt der Sicherheit leichter gesagt als getan, die richtigen Praktiken für das Code Signing einzuführen, um den gewünschten Endzustand zu erreichen. Aber es richtig zu machen, wird im Jahr 2023 eine wesentliche Priorität sein, um sich vor Sicherheitsverletzungen und Angriffen auf die Lieferkette zu schützen.

Wie genau sieht die aktuelle Landschaft rund um das Code Signing aus und welche Veränderungen sind für das kommende Jahr zu erwarten? Um diese Fragen zu beantworten, haben wir uns mit Eric Mizell, VP of Field Engineering bei Keyfactor, zusammengesetzt . Hier ist, was er zu sagen hatte.

Keyfactor: Was sind Ihrer Meinung nach die Hauptgründe dafür, dass sich das Code Signing noch nicht durchgesetzt hat?

Eric Mizell: I believe there are several reasons code signing hasn’t been widely adopted yet, and most of them have to do with varying levels of awareness. Those reasons, starting with the lowest awareness level, include:

1. Die Teams wissen nicht, wie sie den Code signieren sollen oder wie das Signieren von Code in ihre Organisation passt.
2. Die Unterzeichnung des Codes steht auf der Liste der zu erledigenden Aufgaben, hat aber weniger Priorität als andere.
3. Code Signing findet zwar statt, ist aber auf eine bestimmte Gruppe beschränkt und der größeren Organisation möglicherweise unbekannt.

Eines der größten Hindernisse für das Code Signing, unabhängig vom Bekanntheitsgrad, sind begrenzte Standards und ein Mangel an Unterstützung und bewährten Verfahren für das Code Signing.

Keyfactor: Warum wird Code Signing trotz schleppender Einführung immer wichtiger?

Eric: First and foremost, code signing plays a significant role in implementing zero-trust security strategies, which are quickly becoming the standard across organizations. Every company is a software company and the number of applications they build and deploy continues to grow. How can you trust what you build and deploy (zero-trust) if you are not signing?

Hinzu kommt, dass wir auch eine Zunahme von Insider-Bedrohungen beobachten. Da immer mehr Ingenieure von zu Hause aus arbeiten, übernehmen viele mehr Aufgaben und lagern Code von nicht vertrauenswürdigen Personen aus. Dies führt zu mehr Insider-Bedrohungen und macht es erforderlich, dass Unternehmen als Reaktion darauf mehr Kontrollen und Gegenmaßnahmen einführen (eine davon sollte das Signieren von Code sein).

Keyfactor: Da das Bewusstsein für die Bedeutung von Code Signing zunimmt, können wir mit der Einführung weiterer Standards rechnen?

Eric: Absolutely, and GitHub has already started setting the standard. Recently, GitHub launched authentication requirements to verify the person checking in the code. In fact, companies can now enable a capability within GitHub that requires certificate authorization for developers to ensure that the code comes from the designated developer. This is the first step in the software supply chain to ensure code comes from a trusted developer.

Keyfactor: When do you think we’ll reach the tipping point where code signing becomes the norm?

Eric: Fortunately, very soon. Code signing will soon be required for banks, and that’s the first sign that the tipping point is coming, since historically, once high-risk security institutions (like banks) adopt a new security measure, other industries follow closely behind.

That said, we’re still at the beginning of this, as new regulations calling for secure software supply chains are just being introduced in the US. The current mandate applies to vendors who sell to the US government, but this will spread quickly and I expect to see a much different landscape at the end of the year.

Keyfactor: Gibt es internationale Normen, an denen wir uns orientieren können?

Eric: So far, the requirements in the US are very similar to those internationally, but many European Union companies are ahead of their US counterparts. As we learn more, we may find tighter regulations originating in the EU.

Keyfactor: Was ist Ihrer Meinung nach der Grund für diese neuen Anforderungen an die Banken?

Eric: Ganz einfach, wir können nicht mehr nach dem Prinzip "Vertrauen und Überprüfen" leben. Wir leben heute in einer Welt des Null-Vertrauens, und das bedeutet, dass wir sicherstellen müssen, dass alle software, Skripte und Binärdateien, die wir erstellen und bereitstellen, auf sichere Weise signiert sind.

Keyfactor: Erschwert die Tatsache, dass viele Bankdienstleistungen heute international sind, ihre Fähigkeit, dieses Sicherheitsniveau zu bieten?

Eric: This extends much broader. I think every company has this issue since developers are no longer necessarily working in the same office on a secure network. When developers can be anywhere in the world, how do we verify their identity and confirm that they are actually the ones checking in code? Securing the software supply chain from code check in to signing builds is the right path forward.

Sind Sie bereit, mit dem sicheren Code Signing in Ihrer Organisation zu beginnen?

2023 will no doubt be the year that code signing becomes a top priority for organizations of all kinds. Stay ahead of the curve and start protecting your organization now with Keyfactor Signum, a secure signing-as-a-service platform that makes signing code, containers, software, and firmware effortless for application and operations teams and easy to manage for security teams.

Contact us today to learn more.