KOMMENTIT
Viimeaikaiset uutiset siitä, että hakkerit olivat murtaneet etäkäyttöratkaisuyrityksen AnyDesk osoitti ankaran valon yritysten tarpeelle tarkastella koodin allekirjoituskäytäntöjä pitkään ja lujasti varmistaakseen ohjelmistojen toimitusketjun turvallisemman.
Koodiallekirjoitus lisää ohjelmistoon, laiteohjelmistoon tai sovelluksiin digitaalisen allekirjoituksen, joka varmistaa, että käyttäjäkoodi tulee luotettavasta lähteestä ja että sitä ei ole peukaloitu viimeisen allekirjoituksen jälkeen. Mutta koodin allekirjoittaminen on vain niin hyvää kuin sen toteutus, ja riittämättömät käytännöt voivat johtaa haittaohjelmien injektointiin, koodin ja ohjelmiston peukalointiin ja toisena henkilönä esiintymiseen.
Yksityiset avaimet on suojattava, mutta monet kehittäjät (lähinnä mukavuussyistä) ylläpitävät omia avaimiaan ja tallentavat ne paikallisille koneilleen tai rakentavat palvelimia. Tämä jättää ne avoimeksi varkauksille ja väärinkäytöksille ja luo sokeita kulmia turvatiimeille.
Sen jälkeen SolarWinds hakata vuonna 2020 varmenteiden myöntäjien/selain (CA/B) foorumi julkaisi uuden sarjan perusvaatimukset koodin allekirjoitussertifikaattien ylläpitoon, joka velvoittaa käyttämään laitteiston suojausmoduuleja (HSM), laitteita, jotka ylläpitävät ja suojaavat salausavaimia, sekä muita toimenpiteitä yksityisten avainten suojaamiseksi.
HSM:t tarjoavat korkeimman turvallisuustason, mutta ne lisäävät myös kustannuksia, monimutkaisuutta ja ylläpitovaatimuksia. Ellei niitä voida integroida DevOps-tiimin käyttämiin koodin allekirjoitustyökaluihin, yhteyden katkeaminen voi monimutkaistaa koodin allekirjoituksen käyttöä ja hidastaa prosessia.
Siirtyminen pilveen on nostanut turvallisuuden etusijalle, mutta pilvi tarjoaa myös ratkaisun koodin allekirjoittamiseen. Pilvikoodin allekirjoitus ja HSM:t voivat tarjota kehittäjien haluamaa nopeutta ja ketteryyttä sekä keskitetyn hallinnan, joka tukee hajautettuja kehitystiimejä, integroituu kehitysprosesseihin ja on helpommin valvottavissa tietoturvan avulla.
Matka integroituun koodin allekirjoitukseen
Viimeaikaisten muutosten myötä CA / B-foorumi, organisaatioiden on aika lähteä uudistamaan koodin allekirjoittamistaan keskitetyllä ohjauksella kehitystiimien tukemiseksi. Monet yritykset ovat edelleen "ad hoc" -vaiheessa, jossa avaimia ylläpidetään paikallisesti ja kehittäjät käyttävät erilaisia koodin allekirjoitusprosesseja ja työkaluja. Toisissa on keskitetty ohjaus antaakseen tietoturvatiimeille näkyvyyttä ja hallintaa käyttämällä HSM:iä avainten suojaamiseen, mutta erillisten koodin allekirjoitustyökalujen käyttö vaikuttaa silti ohjelmistokehityksen nopeuteen.
Ihanteellinen, kypsä rakenne edellyttää keskeisten tietoturva-, koodin allekirjoitustyökalujen ja kehitystyönkulkujen integrointia, jotta prosessista tulee saumaton ja virtaviivainen kaikissa rakennelmissa, säilöissä, artefakteissa ja suoritettavissa tiedostoissa. Tietoturvatiimit hallitsevat HSM:itä ja saavat täyden näkyvyyden koodin allekirjoittamiseen, kun taas kehittäjillä on nyt ketterä ja nopea kehitysputki.
Muutama paras käytäntö voi auttaa tasoittamaan tietä tälle matkalle:
-
Suojaa avaimesi: Säilytä koodin allekirjoitusavaimet turvallisessa paikassa, kuten HSM:ssä, joka täyttää CA/B Forumin salausvaatimukset (FIPS 140-2 Level 2 tai Common Criteria EAL 4+). HSM:t ovat peukaloinnin estäviä ja estävät yksityisten avainten viennin.
-
Hallitse pääsyä: Minimoi luvattoman käytön ja yksityisten avainten väärinkäytön riski rajoittamalla pääsyä roolipohjaisella kulunvalvonnalla. Määrittele hyväksyntätyönkulkuja ja valvo suojauskäytäntöjä, joilla säätelet vain tarvittavan henkilöstön pääsyä, ja ylläpidä valvontalokeja, jotka tallentavat allekirjoituspyynnön käynnistäneen, avainten käytön ja miksi.
-
Kierrä näppäimiä: Jos yksi avain vaarantuu, kaikki sillä allekirjoitetut julkaisut ovat vaarantumisvaarassa. Kääntele koodin allekirjoitusavaimia säännöllisesti ja käytä ainutlaatuisia ja erillisiä avaimia eri julkaisujen allekirjoittamiseen useissa DevOps-tiimeissä.
-
Aikaleimakoodi: Koodin allekirjoitusvarmenteilla on rajoitettu käyttöikä - yhdestä kolmeen vuotta ja kutistuu. Aikaleimakoodi sen allekirjoittamisen yhteydessä voi varmistaa allekirjoituksen laillisuuden myös varmenteen vanhenemisen tai peruutuksen jälkeen, mikä laajentaa allekirjoitetun koodin ja ohjelmiston luottamusta.
-
Tarkista koodin eheys: Suorita täydellinen koodin tarkistus ennen lopullisen koontiversion allekirjoittamista ja julkaisua vertaamalla koontipalvelimessa olevaa koodia lähdekoodivarastoon ja tarkista kaikki kehittäjien allekirjoitukset varmistaaksesi, että ne ovat peukaloitumattomia.
-
Keskitä hallinta: Yritykset ovat nykyään globaaleja. Keskitetty koodin allekirjoitusprosessi voi auttaa seuraamaan allekirjoitustoimintoja ja varmenteita koko yrityksessä riippumatta siitä, missä kehittäjät sijaitsevat. Se parantaa näkyvyyttä, lisää vastuullisuutta ja poistaa tietoturva-aukkoja.
-
Käytä käytäntöjä: Standardoi koodin allekirjoitusprosessi määrittämällä ja kartoittamalla käytäntöjä, mukaan lukien avainten käyttöoikeudet, hyväksynnät, avaimen vanheneminen, CA-tyyppi, avaimen koko, allekirjoitusalgoritmityyppi ja paljon muuta. Automatisoi käytäntöjen valvonta varmistaaksesi, että kaikki koodi, tiedostot ja ohjelmistot allekirjoitetaan käytäntöjen mukaisesti ja ovat alan standardien mukaisia.
-
Yksinkertaista koodin allekirjoittaminen: Koodiallekirjoituksen integrointi ja automatisointi CI/CD-työkaluilla yksinkertaistaa DevOps-prosessia turvallisuudesta tinkimättä ja edistää samalla nopeutta ja ketteryyttä.
Jatkuvan integraation ja jatkuvan käyttöönoton maailmassa vahvat koodiallekirjoituksen parhaat käytännöt tarjoavat korvaamattoman tavan rakentaa luottamusta kehitysprosessiin ja mahdollistaa turvallisemman ohjelmiston toimitusketjun.
- SEO-pohjainen sisällön ja PR-jakelu. Vahvista jo tänään.
- PlatoData.Network Vertical Generatiivinen Ai. Vahvista itseäsi. Pääsy tästä.
- PlatoAiStream. Web3 Intelligence. Tietoa laajennettu. Pääsy tästä.
- PlatoESG. hiili, CleanTech, energia, ympäristö, Aurinko, Jätehuolto. Pääsy tästä.
- PlatonHealth. Biotekniikan ja kliinisten kokeiden älykkyys. Pääsy tästä.
- Lähde: https://www.darkreading.com/cybersecurity-operations/8-strategies-enhancing-code-signing-security
