Wie kann eine effektive Richtlinie für Code Signing erstellt und durchgesetzt werden? Ausarbeitung eines internen Leitfadens für Code Signing
Mit dem wachsenden Bedarf an ausgereiften Signaturprozessen steigt auch die Anforderung an Unternehmen und Entwicklungsteams, robuste Richtlinien und Verfahren zum Schutz ihrer Softwareprodukte zu entwickeln und umzusetzen. Durch die Erstellung und Dokumentation einer formellen Richtlinie für die Signierung von Code versetzen Sie Ihre Entwickler und Ingenieure in die Lage, die für den Schutz von Softwareprodukten notwendigen Best Practices zu befolgen.
Was soll ich in meinem Leitfaden für Code Signing festhalten?
Effektive Richtlinien für Code-Signaturen umfassen Vorgaben und Verfahren für die Ausstellung und Nutzung von Code-Signing-Schlüsseln einschließlich der folgenden Themenbereiche:
Ausstellung von Schlüsseln
Definieren Sie bei der Erstellung von Verwaltungsprotokollen Prozesse und Zugriffskontrollen, die festlegen, wer wann Schlüssel ausstellen darf. Die Mitarbeiter im Team müssen wissen, wann es entsprechend ihrer Rolle angebracht ist, Schlüssel auszustellen. Legen Sie außerdem fest, welche Schlüsselarten mit welchen Attributen ausgestellt werden dürfen. Dadurch vermeiden Sie die Ausstellung neuer Schlüssel mit schwachen Algorithmen, die als Angriffsvektoren dienen können.
Schlüsselverwaltung
Definieren Sie Prozesse und Zugriffskontrollen für verschiedene Benutzerrollen. Wer verwaltet die Schlüssel? Wie wird die Schlüsselverwaltung entsprechend der Rolle im Team, im Unternehmen oder in der Produktionsphase aufgeteilt? Diese Prozesse müssen auch die Überwachung aller Speicherorte für Schlüssel im gesamten Unternehmen festlegen.
Schlüsselspeicherung
Schlüssel müssen geschützt werden. Definieren Sie Prozesse und Zugriffskontrollen für die Schlüsselspeicherung während der Nutzung und bei Nichtgebrauch. Darin muss auch der Umgang mit Hardware-Sicherheitsmodulen, Tokens, USB-Speichern und die Multifaktor-Authentifizierung für den Zugriff auf Schlüssel festgelegt werden. Ihre Mitarbeiter müssen wissen, wie man Schlüssel ordnungsgemäß speichert und verhindert, dass sie verloren gehen.
Signaturberechtigungen
Die Mitarbeiter im Team müssen wissen, wann was und von wem signiert werden soll. Darüber hinaus muss bekannt sein, wann keine Signaturberechtigung erteilt wird und wie eine Signatur angefordert werden kann, wenn die eigene Rolle nicht dazu berechtigt.
Schlüsselnutzung
Die Art und Weise, wie Schlüssel verwendet bzw. nicht verwendet werden, ist ein wesentlicher Aspekt ordnungsgemäßer Signaturverfahren. Dabei sind der Zeitpunkt und die Benutzerrolle von besonderer Bedeutung.
Verhinderung der Schlüsselweitergabe
Die Weitergabe von Schlüsseln ist eine weit verbreitete und überaus gefährliche Praxis. Ihre Mitarbeiter dürfen niemals Schlüssel weitergeben – auch nicht innerhalb des Unternehmens über Repositorys, Server, Systeme oder Netzwerke. Die Schlüssel dürfen nur von der verantwortlichen Person entsprechend ihrer Rolle ausgestellt, kontrolliert und gespeichert werden.
Continuous Signing
Das Signieren von Code und Software darf nicht als Nebensache oder gar als lästiger Compliance-Schritt verstanden werden. Jede CI/CD-Pipeline sollte auch das kontinuierliche Signieren (CS) umfassen, um einen ordnungsgemäßen und durchgängigen Schutz des Codes zu gewährleisten.
Eine detaillierte Erklärung zur Erstellung einer internen Richtlinie für Code Signing finden Sie in diesem Leitfaden.
