增強(qiáng)代碼簽名安全性的8項(xiàng)最佳實(shí)踐

代碼簽名的用途在于為軟件、固件或應(yīng)用添加數(shù)字簽名,以確保用戶的代碼來自可信源并且在上次簽名后未被篡改。但代碼簽名的實(shí)際效用取決于其執(zhí)行情況,不當(dāng)?shù)膶?shí)踐可能會(huì)導(dǎo)致惡意軟件注入、代碼和軟件篡改以及冒充攻擊。

640 (1).png

本文來自微信公眾號(hào)“數(shù)世咨詢”,作者/茉泠。

01

實(shí)況報(bào)道

最近的新聞報(bào)道稱,遠(yuǎn)程訪問解決方案公司AnyDesk遭到了黑客的入侵。這也引發(fā)了業(yè)界對于代碼簽名實(shí)踐以及軟件供應(yīng)鏈安全的關(guān)注與重視。

代碼簽名的用途在于為軟件、固件或應(yīng)用添加數(shù)字簽名,以確保用戶的代碼來自可信源并且在上次簽名后未被篡改。但代碼簽名的實(shí)際效用取決于其執(zhí)行情況,不當(dāng)?shù)膶?shí)踐可能會(huì)導(dǎo)致惡意軟件注入、代碼和軟件篡改以及冒充攻擊。

雖說私鑰的安全保護(hù)至關(guān)重要,但許多開發(fā)者出于便利性考慮,經(jīng)常將其保存在本地電腦或構(gòu)建服務(wù)器中來進(jìn)行自行管理。這使得私鑰更容易被盜用和誤用,同時(shí)也給安全團(tuán)隊(duì)制造了盲點(diǎn)。

自2020年SolarWinds黑客攻擊事件之后,證書頒發(fā)機(jī)構(gòu)/瀏覽器論壇(CA/B Forum)發(fā)布了一套新的基線要求,用于維護(hù)代碼簽名證書,其中要求強(qiáng)制使用HSM(hardware security modules,硬件安全模塊),以及專門用于保護(hù)和管理加密密鑰的設(shè)備,并實(shí)施其他相關(guān)措施來保護(hù)私鑰。

雖說HSM提供了最高級別的安全性,但同時(shí)也帶來了更高的成本、更復(fù)雜的操作以及維護(hù)需求。除非它們能被集成到DevOps團(tuán)隊(duì)使用的代碼簽名工具中,否則這種脫節(jié)很可能會(huì)使得代碼簽名過程變得更加復(fù)雜并造成一定的延遲。

隨著行業(yè)資產(chǎn)與服務(wù)向云端的遷移,安全性成為了更高的優(yōu)先級,同時(shí)云解決方案也為代碼簽名提供了新的可能。云端代碼簽名和HSM不僅加快了開發(fā)速度,增強(qiáng)了靈活性,同時(shí)還支持分布式開發(fā)團(tuán)隊(duì)的集中控制,使得整個(gè)開發(fā)流程更加順暢,且更容易被安全團(tuán)隊(duì)監(jiān)控。

02

集成代碼簽名之旅

隨著CA/B論壇最近的改革,各組織需要啟動(dòng)他們的現(xiàn)代化代碼簽名之旅,引入集中控制機(jī)制以對開發(fā)團(tuán)隊(duì)進(jìn)行支持。目前,許多公司仍舊處于“臨時(shí)”階段——密鑰被本地管理,且開發(fā)者采用多樣化的代碼簽名工具和流程。然而,有些公司則已經(jīng)通過部署HSM來對密鑰進(jìn)行保護(hù),實(shí)現(xiàn)了集中控制,以便安全團(tuán)隊(duì)可以實(shí)現(xiàn)更好的監(jiān)督和管理,但獨(dú)立的代碼簽名工具使用仍會(huì)對軟件開發(fā)速度造成影響。

一個(gè)理想且成熟的體系應(yīng)該將密鑰安全、代碼簽名工具與開發(fā)工作流程進(jìn)行集成,確保整個(gè)編碼、容器化、工件處理和執(zhí)行過程的無縫流暢與高效。安全團(tuán)隊(duì)需要負(fù)責(zé)管理HSM,從而實(shí)現(xiàn)對代碼簽名過程的完全掌握,同時(shí)開發(fā)者也能享受到敏捷且靈活的開發(fā)通道。

以下幾項(xiàng)最佳實(shí)踐能夠有效地支持這一轉(zhuǎn)變過程:

密鑰保護(hù):將代碼簽名密鑰存儲(chǔ)在安全的位置,例如符合CA/B論壇加密要求的HSM(FIPS 140-2第2級或共同標(biāo)準(zhǔn)EAL 4+)中。HSM具有防篡改功能,且可防止私鑰被導(dǎo)出。

訪問控制:通過基于角色的訪問控制來最小化未經(jīng)授權(quán)訪問和誤用私鑰的風(fēng)險(xiǎn)。定義審批工作流程并執(zhí)行安全策略,只允許必要的員工訪問,并保留審計(jì)日志,記錄誰觸發(fā)了簽名請求,誰訪問了密鑰,以及訪問理由。

密鑰輪換:一旦密鑰泄露,所有相關(guān)的簽名發(fā)布都可能會(huì)受到影響。定期更換代碼簽名密鑰,并為不同的發(fā)布使用不同的密鑰,覆蓋各個(gè)DevOps團(tuán)隊(duì)。

給代碼加上時(shí)間戳:代碼簽名證書的有效期通常只有一到三年。在代碼簽名時(shí)添加時(shí)間戳可以在證書過期或被撤銷后,仍然證明簽名的有效性,延長代碼和軟件的信任期限。

代碼完整性核查:在簽名并發(fā)布最終版本前,進(jìn)行徹底的代碼審查,對比構(gòu)建服務(wù)器中與源代碼庫中的代碼,驗(yàn)證所有開發(fā)者的簽名以確保代碼未被篡改。

集中式管理:在全球化的商業(yè)環(huán)境中,實(shí)施集中式代碼簽名流程可以對整個(gè)企業(yè)的簽名活動(dòng)以及證書狀態(tài)進(jìn)行監(jiān)控,提高管理的透明度,確保責(zé)任分明并減少安全風(fēng)險(xiǎn)。

執(zhí)行政策:通過定義和應(yīng)用一套詳細(xì)的政策來對代碼簽名流程進(jìn)行標(biāo)準(zhǔn)化,包括管理密鑰使用權(quán)限、審批流程、密鑰過期時(shí)間、CA類型、密鑰大小以及簽名算法等。實(shí)現(xiàn)這些政策的自動(dòng)化執(zhí)行,確保所有代碼、文件和軟件的簽名都符合政策要求以及行業(yè)標(biāo)準(zhǔn)。

簡化代碼簽名流程:通過將代碼簽名與CI/CD工具集成和自動(dòng)化,簡化DevOps團(tuán)隊(duì)的工作流程。不僅保證安全性,同時(shí)提高效率和靈活性。

在當(dāng)今軟件開發(fā)的持續(xù)集成(CI)和持續(xù)部署(CD)環(huán)境中,實(shí)施強(qiáng)大的代碼簽名流程成為了提高安全性的關(guān)鍵策略。這種最佳實(shí)踐不僅為建立開發(fā)過程中的信任機(jī)制提供了可靠的方法,同時(shí)也還有助于確保軟件供應(yīng)鏈的整體安全性得到加強(qiáng)。

THEEND

最新評論(評論僅代表用戶觀點(diǎn))

更多
暫無評論