Vivimos en un mundo que funciona con código. El Software está en todas partes. Está en su hogar, su automóvil, su lugar de trabajo y prácticamente en cualquier lugar al que vaya, todo impulsado por miles de millones de líneas de código.
La firma de código segura es la práctica de firmar digitalmente un fragmento de Software (o firmware) para garantizar que los usuarios finales puedan identificar su origen (el autor del Software) y verificar que el código no ha sido alterado desde su publicación.
La mayoría de los desarrolladores de Software y fabricantes de IoT reconocen la necesidad de aplicaciones firmadas, pero pueden enfrentar desafíos sobre cómo implementar la firma de código de forma segura. Firmar código sin proteger sus claves y certificados criptográficos puede, de hecho, exponerle a un riesgo mayor que no firmar el código en absoluto.
¿Por qué?
Porque son objetivos lucrativos. Los atacantes buscan comprometer estos certificados y claves digitales para firmar y distribuir código malicioso enmascarado como Software o firmware legítimo.
Cuando las organizaciones no logran asegurar los procesos de firma de código, las «claves virtuales de su reino empresarial» quedan vulnerables a los ataques. La confianza e integridad del Software dependen enteramente de la seguridad de estas claves de firma de código, pero mantenerlas seguras no es una tarea sencilla. Considere:
- Seguridad vs. Velocidad: Los equipos de seguridad y de infraestructura de clave pública (PKI) preferirían aislar y proteger las claves privadas de firma de código, pero los desarrolladores aún necesitan acceso rápido para firmar código y llevarlo a producción.
- Desarrollo Disperso: Los equipos de desarrollo actuales trabajan en ubicaciones geográficamente dispersas. Las claves de firma de código a menudo quedan al alcance de los hackers en las estaciones de trabajo de los desarrolladores y en los servidores de compilación.
- Sin Interrupciones: En DevOps, las compilaciones incrementales frecuentes de Software son la clave. Cualquier cambio en el Ciclo de Vida de Desarrollo de Software (SDLC) puede introducir riesgos y retrasar el tiempo de comercialización.
Los recientes ataques de firma de código subrayan la importancia de seguir las mejores prácticas para satisfacer eficazmente las necesidades tanto de los desarrolladores como de los equipos de seguridad de TI. Ya sea que consuma o desarrolle Software, su empresa debe tomar medidas para evitar que sus claves y certificados caigan en manos equivocadas.
Mejores prácticas para asegurar la firma de código
Analicemos las cuatro mejores prácticas que su organización puede seguir para prevenir ataques de firma de código y superar los desafíos que enfrentan tanto los desarrolladores como los equipos de seguridad de TI.
1.) Proteja sus claves privadas
La responsabilidad de firmar código recae a menudo en los desarrolladores, personas que se especializan en escribir código, no en garantizar la seguridad. Como resultado, las claves de firma privadas terminan en ubicaciones de red no seguras, donde pueden ser extraídas por atacantes para vender o crear malware firmado con código.
Comience por averiguar cuántas claves y certificados de firma de código tiene, dónde residen y cómo se almacenan. Localice y transfiera todas las claves privadas a un módulo de seguridad de Hardware (HSM) certificado FIPS 140-2 Nivel 2 para evitar que los atacantes obtengan acceso físico o lógico.
Consejo: Opte por un servicio de HSM en la nube que ofrece todos los beneficios de la seguridad a nivel de Hardware, pero sin los costos iniciales, la configuración manual y el mantenimiento continuo de los HSM de Hardware dedicados.
2.) Aplique políticas y prácticas
Si un hacker vulnera su red de desarrolladores, no necesariamente necesita robar sus claves. Al obtener acceso a un servidor de compilación o a una estación de trabajo de desarrollador con acceso a la infraestructura de firma de código, los hackers pueden simplemente enviar malware para que sea firmado y distribuido sin ser detectado.
Asegúrese de que solo los desarrolladores adecuados puedan firmar el código correcto con la clave adecuada y en el momento oportuno. Al aplicar controles de acceso y políticas de firma, puede asegurarse de que, incluso si un hacker vulnera la red, no pueda comprometer su infraestructura de firma de código.
Consejo: Separe los roles entre quienes pueden enviar código para ser firmado y quienes pueden aprobar las solicitudes de firma de certificados. La separación de funciones puede prevenir eficazmente el uso indebido de los certificados de firma de código.
3.) Integre con DevOps
La seguridad solo es efectiva con la adopción. Los desarrolladores deben poder firmar cualquier código, desde cualquier lugar, sin interrupciones. De lo contrario, surgirán inevitablemente brechas de seguridad.
La firma de código debe ser una responsabilidad colaborativa entre los equipos de seguridad y desarrollo para lograr objetivos mutuos de proteger las claves sin interrumpir el SDLC. Integre los procesos de firma de código con las herramientas y flujos de trabajo de desarrollo existentes.
Consejo: Encuentre una solución que permita a los desarrolladores firmar código desde cualquier lugar, sin tener que almacenar las claves de firma de código localmente en diferentes estaciones de trabajo, servidores de compilación, tarjetas inteligentes y tokens.
4.) Monitoree y audite continuamente
Los certificados caducan, las claves y los algoritmos se debilitan con el tiempo, y las amenazas continúan evolucionando. Manténgase a la vanguardia de estos riesgos monitoreando continuamente el estado de los certificados de firma de código, la solidez de los algoritmos utilizados y todas las actividades de firma de código. Registre y audite regularmente el uso de las claves para asegurarse de que no se pase nada por alto.
Consejo: Incluya los certificados de firma de código en su estrategia de gestión del ciclo de vida de los certificados con disposiciones sobre cómo se solicitan, emiten, renuevan o revocan.
¿Quiere saber más? Descargue la Hoja de Ruta Definitiva para la Firma Segura de Código que incluye información detallada sobre ataques recientes de firma de código y cómo podrían haberse prevenido.
¿Listo para empezar? Keyfactor Code Assure está diseñado específicamente para ayudarle a abordar de frente sus mayores desafíos de firma de código.
