Ce à quoi il faut s'attendre pour la signature de codes en 2023 : Sensibilisation accrue, nouvelles réglementations, etc.

À l'aube de 2023, la signature des codes sera plus importante que jamais, ce qui n'est pas peu dire.

Dans l'environnement actuel de confiance zéro, la signature de code représente une étape critique dans la protection de l'intégrité de software et de l'infrastructure. Lorsqu'elle est bien faite, la signature de code garantit que seules les personnes et les outils adéquats ont accès à la signature du code, et que cette signature permet aux utilisateurs et aux appareils de déterminer à quelle software ils peuvent faire confiance - et à quelle ils ne peuvent pas faire confiance.

Bien sûr, comme pour tout ce qui touche à la sécurité, il est plus facile de dire que de faire adopter les bonnes pratiques en matière de signature de code afin d'atteindre l'état final souhaité. Mais il s'agira d'une priorité essentielle pour 2023 afin de se protéger contre les violations et les attaques de la chaîne d'approvisionnement.

Alors, à quoi ressemble exactement le paysage actuel de la signature de code et à quoi peut-on s'attendre dans l'année à venir ? Pour répondre à ces questions, nous nous sommes entretenus avec Eric Mizell, vice-président de l'ingénierie de terrain à l'adresse Keyfactor. Voici ce qu'il avait à dire.

Keyfactor: Selon vous, quelles sont les principales raisons pour lesquelles la signature de code n'a pas encore été largement adoptée ?

Eric Mizell: I believe there are several reasons code signing hasn’t been widely adopted yet, and most of them have to do with varying levels of awareness. Those reasons, starting with the lowest awareness level, include:

1. Les équipes ne savent pas comment signer le code ou quelle est la place de la signature du code dans leur organisation.
2. La signature du code figure sur la liste des choses à faire, mais elle est moins importante que d'autres priorités.
3. La signature de code existe, mais elle est limitée à un groupe spécifique et potentiellement inconnue de l'ensemble de l'organisation.

Enfin, l'un des principaux obstacles à la signature de code, quel que soit le niveau de sensibilisation, est l'existence de normes limitées et le manque de soutien et de bonnes pratiques en matière de signature de code.

Keyfactor: Malgré une adoption tardive, pourquoi la signature de code devient-elle plus importante ?

Eric: First and foremost, code signing plays a significant role in implementing zero-trust security strategies, which are quickly becoming the standard across organizations. Every company is a software company and the number of applications they build and deploy continues to grow. How can you trust what you build and deploy (zero-trust) if you are not signing?

En outre, nous assistons également à une augmentation des menaces internes. Plus précisément, comme de plus en plus d'ingénieurs travaillent à domicile, nombre d'entre eux acceptent davantage d'emplois et externalisent le code auprès de personnes non dignes de confiance. Cela entraîne une augmentation des menaces d'initiés et obligera les organisations à introduire davantage de contrôles et d'équilibres (l'un d'entre eux devant être la signature de code) en réponse à ces menaces.

Keyfactor: La prise de conscience de l'importance de la signature des codes étant de plus en plus grande, peut-on s'attendre à ce que davantage de normes soient introduites ?

Eric: Absolutely, and GitHub has already started setting the standard. Recently, GitHub launched authentication requirements to verify the person checking in the code. In fact, companies can now enable a capability within GitHub that requires certificate authorization for developers to ensure that the code comes from the designated developer. This is the first step in the software supply chain to ensure code comes from a trusted developer.

Keyfactor: When do you think we’ll reach the tipping point where code signing becomes the norm?

Eric: Fortunately, very soon. Code signing will soon be required for banks, and that’s the first sign that the tipping point is coming, since historically, once high-risk security institutions (like banks) adopt a new security measure, other industries follow closely behind.

That said, we’re still at the beginning of this, as new regulations calling for secure software supply chains are just being introduced in the US. The current mandate applies to vendors who sell to the US government, but this will spread quickly and I expect to see a much different landscape at the end of the year.

Keyfactor: Existe-t-il des normes internationales dont nous pourrions nous inspirer ?

Eric: So far, the requirements in the US are very similar to those internationally, but many European Union companies are ahead of their US counterparts. As we learn more, we may find tighter regulations originating in the EU.

Keyfactor: Selon vous, qu'est-ce qui motive ces nouvelles exigences pour les banques ?

Eric : Tout simplement, nous ne pouvons plus nous contenter de l'approche "faire confiance et vérifier". Nous vivons désormais dans un monde de confiance zéro, ce qui signifie que nous devons nous assurer que tous les software, scripts et binaires que nous construisons et déployons sont signés de manière sécurisée.

Keyfactor: Le fait que de nombreux services bancaires soient désormais internationaux complique-t-il leur capacité à fournir ce niveau de sécurité ?

Eric: This extends much broader. I think every company has this issue since developers are no longer necessarily working in the same office on a secure network. When developers can be anywhere in the world, how do we verify their identity and confirm that they are actually the ones checking in code? Securing the software supply chain from code check in to signing builds is the right path forward.

Vous êtes prêt à utiliser la signature de code sécurisée dans votre entreprise ?

2023 will no doubt be the year that code signing becomes a top priority for organizations of all kinds. Stay ahead of the curve and start protecting your organization now with Keyfactor Signum, a secure signing-as-a-service platform that makes signing code, containers, software, and firmware effortless for application and operations teams and easy to manage for security teams.

Contact us today to learn more.