上一步
DigiCert® Software Trust Manager
軟體供應
鏈安全
使用 自動化工具對程式碼進行掃描和簽章、 並產生軟體物料清單 （SBOM），從而保護您的整個軟體供應鏈。這就是現實世界的數位信任。
DigiCert Software Trust Manager
抵禦軟體供應鏈攻擊
軟體供應鏈攻擊（SSC）呈上升趨勢。如果客戶依賴貴企業軟體的完整性，那麼貴企業可以依靠DigiCert來保護企業的軟體供應鏈。我們為您的程式碼簽章金鑰儲存提供安全的軟體管理以及角色型存取，從而最大限度地減少攻擊者存取私密金鑰的機會。利用原則驅動式方法發佈軟體：對軟體二進位檔案進行深入分析，尋找惡意軟體和漏洞，並僅在符合原則的情況下以安全方式對應用程式進行程式碼簽章。我們提供：
- 企業加強型安全程式碼簽章
- 軟體二進位檔案的威脅檢測掃描
- 軟體物料清單(SBOM)
- CI/CD管線自動化
實現軟體安全管理自動化
DigiCert® Software Trust Manager透過程式碼簽章和威脅檢測工作流程自動化來改善軟體安全性。我們的軟體管理工具透過端對端的、覆蓋全公司的安全與控制來識別並減少發佈流程中的漏洞點，而不會減緩您的DevOps管線。
重要功能包括：
安全金鑰
簽章金鑰在本地或雲端HSM中獲得安全保護，免遭盜竊或不安全的金鑰做法，並具有細化的存取和使用控制選項。
原則的強制執行
細化的角色和權限以及自動化的工作流程確保遵守安全原則。
集中管理
稽核對簽署者和簽署內容、簽署時間的追蹤，以及憑證全生命週期處理，便於管理和修復。
與CI/CD整合
與CI/CD管線的整合確保高效且一致的簽章而不會減慢開發速度。
威脅檢測
由ReversingLabs提供支援，可對惡意軟體、軟體竄改，以及開放原始碼軟體、專屬軟體、容器和發佈包中包含的機密等威脅進行高級檢測。
軟體物料清單
為二進位檔案中的所有元件從最終版軟體二進位檔案中產生全面的軟體物料清單。
為什麼您需要軟體物料清單（SBOM）？
當今的軟體是多個來源的程式碼和包的編譯，其中許多為非內部構建。這包括開放原始碼、第三方和各種庫，以及來自內部和外部CI/CD團隊的多個元件。軟體物料清單是一種元件清單，作為巢狀清單附於軟體。它列出了組成完整套裝軟體的每一段程式碼，這樣您就能瞭解可信任的內容，更容易地追蹤並消除漏洞或惡意軟體。
檢測並緩解威脅
軟體掃描和軟體物料清單能讓您追蹤元件並檢測威脅，這樣緩解和補救工作就要容易得多。
檢視軟體供應鏈中的SBOM。
企業級功能
DigiCert Software Trust Manager提供企業所需要的靈活性和控制。
細化的帳戶管理和使用者存取控制
設定使您能夠集中控制安全原則的工作流程：
- 設定並標準化工作流程功能、使用者結構、角色和權限
- 易於為具有特定網站要求的設施產生專屬的私人CA
- 可在整個企業的憑證環境中匯入和匯出來自任何CA的自簽章憑證、私人憑證和公共最終實體憑證
- 對簽章活動的追蹤易於稽核，具有時間戳記以進行快速修復
金鑰和憑證安全性控制
透過安全的金鑰儲存、存取和處理，防止未經授權的存取和簽章金鑰的使用：
- 與本地或雲端傳遞HSM整合
- 對應到金鑰處理需求的金鑰存取設定檔：生產、測試、按需、離線、開放、受限
- 靜態、動態和漫遊使用模式
- 雙使用者確認選項
- 憑證設定檔範本和工作流程
- 具有多重要素身分驗證的細化的金鑰存取授權
發佈流程控制
防止惡意軟體被插入組建伺服器，並驗證在發佈流程中被簽署的程式碼是否與基準版本相匹配。
威脅檢測
由ReversingLabs提供支援，深入分析軟體二進位檔案中的威脅、軟體竄改和其他漏洞：
- 使用全球最大的已知惡意軟體簽章私人資料庫
- 掃描任何類型的軟體二進位檔案
- 產生軟體物料清單，甚至可為來自第三方開放原始碼和專屬軟體的元件產生軟體物料清單
與DevOps工作流程無縫整合
在不減緩敏捷開發目標的情況下獲得工作流程和流程安全性：
- 透過PKCS11/KSP與Jenkins、Azure Pipelines、Gradle等DevOps CI/CD工具進行原生整合
- 雜湊簽章以減少延遲並保持程式碼安全
- 透過API、命令列或主控台簽章
- 多種簽章工具的通用介面
支援多種使用案例&檔案類型
無縫保護並管理從已發佈軟體到部署環境到韌體的所有內容，並支援多種檔案類型。
已發佈軟體
IT應用程式
韌體
容器
軟體映像
行動應用程式
Authenticode | Android | Apple | ClickOnce | Debian | Docker
GPG | JAVA | Nuget | OpenSSL | RPM | XML
可擴充的靈活部署
使用基於容器的架構以簡化部署和新功能的推出，讓您的投資經受住未來的考驗，並使您能夠及時瞭解行業合規性要求：
- 使用可快速部署且高度可擴充的基於容器的架構，快速實現價值
- 部署模式的靈活性：本地、公共或私人雲端，或混合式部署
- 與本地資料中心配對以滿足國內要求
- 專屬的私人CA選項
來自客戶的回饋意見
“我們在六大洲共有6,000多名開發人員。力圖確保他們所需要的（用於程式碼簽章的）所有金鑰安全無虞是一項噩夢般的任務。透過使用Software Trust Manager，金鑰都保留在雲端，僅向相關人員提供進行簽章的金鑰存取權限，而不讓他們獲得實際的金鑰。這對於我們來說是巨大的收穫。”
David Nalley，Apache軟體基金會基礎結構副總裁
什麼是軟體與程式碼簽章？
程式碼簽章是一種確認程式碼或其他數位二進位檔案未被更改的方法。此方法利用公開金鑰基礎結構（PKI）框架來證明程式碼或二進位檔案的完整性。程式碼簽章就像一種數位化的塑封包裝。
流程：
- 簽章為被簽署的程式碼或檔案創建“包裝”。
- 寄送已簽署的程式碼。
- 如果“包裝”在傳輸過程中沒有損壞，收件者就能知道檔案沒有被竄改。它可以受到信任。
- 如果“包裝”被損壞，則說明文件已被竄改，不能受到信任。
為什麼程式碼簽章很重要？
程式碼簽章能最大限度地降低程式碼竄改風險。對於已簽署的程式碼，如果在下載過程中完整性檢查失敗，收件者就會收到安全警告。這有助於收件者避免下載可能包含惡意軟體的被竄改的程式碼。程式碼簽章是軟體信任管理的重要組成部分。
DigiCert® ONE平台的一部分
數位信任平台DigiCert ONE為組織提供適用于各類數位信任需求的集中式可見度和控制，保護網站、企業存取權限與通訊、軟體、身分、內容及装置。DigiCert將我們屢獲殊榮的軟體與我們在標準、支援和營運方面的行業領先地位相結合，而且DigiCert是世界各地重視信任的領先企業的首選供應商。
