Qué esperar de la firma de código en 2023: Mayor concienciación, nuevas regulaciones y más

A medida que nos adentramos en 2023, la firma de código será más importante que nunca, y eso es mucho decir.

En el entorno de confianza cero actual, la firma de código representa un paso crítico en la protección de la integridad del Software y la infraestructura. Cuando se realiza correctamente, la firma de código garantiza que solo las personas y herramientas adecuadas tengan acceso para firmar código, y esa firma permite a los usuarios y dispositivos determinar qué Software confiar y cuál no.

Por supuesto, como todo en el mundo de la seguridad, introducir las prácticas adecuadas en torno a la firma de código para lograr el estado final deseado es más fácil de decir que de hacer. Pero hacerlo bien será una prioridad esencial para 2023 para protegerse contra las filtraciones y los ataques a la cadena de suministro.

¿Cómo es exactamente el panorama actual en torno al firmado de código y qué cambios podemos esperar para el próximo año? Para responder a estas preguntas, nos reunimos con Eric Mizell, vicepresidente de Ingeniería de Campo en Keyfactor. Esto es lo que nos compartió.

Keyfactor: En su opinión, ¿cuáles son algunas de las principales razones por las que el firmado de código aún no ha sido ampliamente adoptado?

Eric Mizell: I believe there are several reasons code signing hasn’t been widely adopted yet, and most of them have to do with varying levels of awareness. Those reasons, starting with the lowest awareness level, include:

1. Los equipos no saben cómo firmar código o dónde encaja el firmado de código en su organización.
2. El firmado de código está en la lista de tareas pendientes, pero con una prioridad menor que otras.
3. El firmado de código se está realizando, pero está limitado a un grupo específico y es potencialmente desconocido para el resto de la organización.

Finalmente, uno de los mayores obstáculos para el firmado de código, independientemente de los niveles de concienciación, es la limitación de estándares y la falta de soporte y mejores prácticas para el firmado de código.

Keyfactor: A pesar de la lenta adopción, ¿por qué el firmado de código está adquiriendo mayor importancia?

Eric: First and foremost, code signing plays a significant role in implementing zero-trust security strategies, which are quickly becoming the standard across organizations. Every company is a software company and the number of applications they build and deploy continues to grow. How can you trust what you build and deploy (zero-trust) if you are not signing?

Además, también estamos observando un aumento de las amenazas internas. Específicamente, con cada vez más ingenieros trabajando desde casa, muchos están asumiendo más trabajos y subcontratando código de individuos no confiables. Esto conlleva más amenazas internas y requerirá que las organizaciones introduzcan más controles y equilibrios (uno de los cuales debería ser el firmado de código) como respuesta.

Keyfactor: A medida que aumenta la concienciación sobre la importancia del firmado de código, ¿podemos esperar la introducción de más estándares?

Eric: Absolutely, and GitHub has already started setting the standard. Recently, GitHub launched authentication requirements to verify the person checking in the code. In fact, companies can now enable a capability within GitHub that requires certificate authorization for developers to ensure that the code comes from the designated developer. This is the first step in the software supply chain to ensure code comes from a trusted developer.

Keyfactor: When do you think we’ll reach the tipping point where code signing becomes the norm?

Eric: Fortunately, very soon. Code signing will soon be required for banks, and that’s the first sign that the tipping point is coming, since historically, once high-risk security institutions (like banks) adopt a new security measure, other industries follow closely behind.

That said, we’re still at the beginning of this, as new regulations calling for secure software supply chains are just being introduced in the US. The current mandate applies to vendors who sell to the US government, but this will spread quickly and I expect to see a much different landscape at the end of the year.

Keyfactor: ¿Existen estándares internacionales que podamos tomar como modelo?

Eric: So far, the requirements in the US are very similar to those internationally, but many European Union companies are ahead of their US counterparts. As we learn more, we may find tighter regulations originating in the EU.

Keyfactor: ¿Qué cree que está impulsando estos nuevos requisitos para los bancos?

Eric: Sencillamente, ya no podemos vivir bajo el enfoque de «confiar y verificar». Ahora vivimos en un mundo de confianza cero (zero-trust), y eso significa que debemos asegurarnos de que todo el Software, scripts y binarios que desarrollamos e implementamos estén firmados de forma segura.

Keyfactor: ¿El hecho de que muchos servicios bancarios sean ahora internacionales complica su capacidad para proporcionar este nivel de seguridad?

Eric: This extends much broader. I think every company has this issue since developers are no longer necessarily working in the same office on a secure network. When developers can be anywhere in the world, how do we verify their identity and confirm that they are actually the ones checking in code? Securing the software supply chain from code check in to signing builds is the right path forward.

¿Listo para implementar el firmado seguro de código en su organización?

2023 will no doubt be the year that code signing becomes a top priority for organizations of all kinds. Stay ahead of the curve and start protecting your organization now with Keyfactor Signum, a secure signing-as-a-service platform that makes signing code, containers, software, and firmware effortless for application and operations teams and easy to manage for security teams.

Contact us today to learn more.