解説

ハッカーがリモートアクセスソリューション会社に侵入したという最近のニュース AnyDesk より安全なソフトウェア サプライ チェーンを確保するために、企業がコード署名の実践を長期にわたって厳しく検討する必要性を厳しい光で照らしました。  

コード署名は、ソフトウェア、ファームウェア、またはアプリケーションにデジタル署名を追加し、ユーザー コードが信頼できるソースからのものであり、最後に署名されてから改ざんされていないことを保証します。しかし、コード署名はその実行が重要であり、不適切に実行すると、マルウェアの挿入、コードやソフトウェアの改ざん、なりすまし攻撃につながる可能性があります。 

秘密キーは保護する必要がありますが、多くの開発者は (主に利便性の理由から) 独自の秘密キーを保持し、ローカル マシンに保存したり、サーバーを構築したりしています。これにより、盗難や悪用の危険にさらされ、セキュリティ チームにとって死角が生じます。  

以下 SolarWindsハック 2020 年に、認証局/ブラウザ (CA/B) フォーラムは新しいセットをリリースしました。 ベースライン要件 ハードウェア セキュリティ モジュール (HSM)、暗号キーを維持および保護するデバイス、および秘密キーを保護するためのその他の手段の使用を義務付けるコード署名証明書を維持するため。 

HSM は最高レベルのセキュリティを提供しますが、コスト、複雑さ、メンテナンスの要求も増加します。これらを DevOps チームが使用するコード署名ツールに統合できない限り、切断によりコード署名へのアクセスが複雑になり、プロセスが遅くなる可能性があります。  

クラウドへの移行によりセキュリティの優先順位が高くなりましたが、クラウドはコード署名のソリューションも提供します。クラウド コード署名と HSM は、開発者が望むスピードと機敏性を提供するだけでなく、分散した開発チームをサポートし、開発プロセスに統合し、セキュリティによってより簡単に監視できる一元管理を提供します。 

統合コード署名への旅 

最近の変更により、 CA / Bフォーラム組織は、開発チームをサポートするために一元管理を使用してコード署名を最新化する取り組みに着手する時期が来ています。多くの企業は依然として「アドホック」段階にあり、キーはローカルで管理され、開発者はさまざまなコード署名プロセスとツールを使用します。他の企業は、HSM を使用してキーを保護することでセキュリティ チームに可視性とガバナンスを提供する集中管理を行っていますが、個別のコード署名ツールを使用することは依然としてソフトウェア開発の速度に影響を与えます。 

理想的な成熟した構造には、すべてのビルド、コンテナ、アーティファクト、実行可能ファイルにわたってプロセスをシームレスかつ合理化するために、主要なセキュリティ、コード署名ツール、開発ワークフローを統合する必要があります。セキュリティ チームは HSM を管理し、コード署名を完全に可視化できる一方、開発者は機敏でスピーディな開発パイプラインを手に入れることができます。 

いくつかのベスト プラクティスが、この旅への道を切り開くのに役立ちます。 

継続的インテグレーションと継続的デプロイメントの世界では、強力なコード署名のベスト プラクティスは、開発プロセスにおける信頼を構築し、より安全なソフトウェア サプライ チェーンを可能にする貴重な方法を提供します。

• SEO を活用したコンテンツと PR 配信。 今日増幅されます。
• PlatoData.Network 垂直生成 Ai。 自分自身に力を与えましょう。 こちらからアクセスしてください。
• プラトアイストリーム。 Web3 インテリジェンス。 知識増幅。 こちらからアクセスしてください。
• プラトンESG。 カーボン、 クリーンテック、 エネルギー、 環境、 太陽、 廃棄物管理。 こちらからアクセスしてください。
• プラトンヘルス。 バイオテクノロジーと臨床試験のインテリジェンス。 こちらからアクセスしてください。
• 情報源： https://www.darkreading.com/cybersecurity-operations/8-strategies-enhancing-code-signing-security