Aktuelles, Branche, Interviews, Produkte - geschrieben von cp am Mittwoch, September 25, 2019 8:10 - noch keine Kommentare

Next-Gen Code Signing: Lösung zum Schutz von Maschinenidentitäten

Tags: Code Signing, Maschinenidentitäten, Schutz, Venafi, Zertifikat

Oft unterschätzt, aber dennoch sehr wichtiges Thema für IT-Sicherheitsabteilungen

[datensicherheit.de, 25.09.2019] Venafi hat kürzlich mit Next-Gen Code Signing eine Lösung zum Schutz von Maschinenidentitäten vorgestellt, bei der die Code-Signatur unternehmensweit abgesichert und vor unbefugter Nutzung geschützt wird. Im Interview mit Kevin Bocek geht Herausgeber Carsten J. Pinnow von datensicherheit.de (ds) der Frage nach, warum Code Signing ein oft unterschätztes, obwohl wichtiges Thema für IT-Sicherheitsabteilungen ist.

Foto: Venafi

Kevin Bocek, „Vice President, Threat Intelligence and Security Strategy“ bei Venafi

ds: Was ist Code Signing und wie funktioniert der Code Signing Prozess?

Bocek: Wenn der Code eines Unternehmens mit einem Zertifikat signiert wird, soll dieser bestätigen, dass die Firma, der Autor und der Code vertrauenswürdig ist. Damit werden die Zuverlässigkeit und Integrität der Software gewährleistet. Die Kunden des Unternehmens erwarten diese Eigenschaften von deren Software-Produkten und Online-Dienstleistungen. Ein Unternehmen signiert seine Software mit Code Signing-Zertifikaten, um sicher zu stellen, dass diese Kundenanforderungen erfüllt werden. In Zukunft werden nicht nur Anwendungen, sondern Container, server-lose Funktionen, Transaktionen und vieles mehr auf Code Signing angewiesen sein, um sich und die Entwickler als vertrauenswürdig auszuweisen.

Code Signing-Zertifikate können verwendet werden, um jeden Code zu signieren und dieser kann außerdem mit einem Zeitstempel versehen werden, der theoretisch ins unendliche läuft. Infolgedessen kann Malware mit gestohlenen Credentials einen nachhaltigen Einfluss auf Unternehmen haben und zu Umsatzeinbußen, verlorenem Kundenvertrauen oder sogar zu Schäden an Industrieanlagen führen. Darüber hinaus hängt auch die Markenreputation davon ab und das Unternehmen muss sogar die gesetzliche Haftung für den Code übernehmen. Letztlich ist das kein Fehler bei der Code-Signierung im Sinne einer Sicherheitskontrolle, sondern ein Fehler beim Schutz von Code Signing Prozessen. Während Code Signing kritische Sicherheitseinrichtungen wie private Schlüssel und Zertifikate beinhaltet, werden bei der Absicherung dieser Vermögenswerte häufig schlechte Signatur-Praktiken angewendet. Die Code-Signatur wird häufig von Entwicklern und nicht den IT-Sicherheitsabteilungen durchgeführt und verwaltet. Deshalb sind auch sie damit betraut, obwohl eigentlich die IT-Sicherheitsabteilungen für die Sicherheit des Unternehmens verantwortlich sind. Meistens haben sie daher keine Kontrolle oder Einblick in die Code Signing-Prozesse.

ds: Warum sind Code Signing-Schlüssel und Zertifikate wichtig für die IT-Sicherheit in Unternehmen?

Bocek: Führungskräfte in Unternehmen wissen, dass Code Signing ein wichtiges Tool zur Sicherheitskontrolle ist, sowohl für die Selbstverteidigung als auch für den externen Reputationsschutz. Die meisten Unternehmen übersehen jedoch die Sicherung kritischer Aspekte des Prozesses, durch den der Code signiert wird, z.B. wer eigentlich dazu berechtigt ist, ihn zu signieren, wer diesen Prozess genehmigen muss und welche Zertifikate zur Verwendung genutzt werden dürfen. Dies macht Unternehmen anfällig für Sicherheitslücken. Wenn die Code Signing-Schlüssel und Zertifikate, die als Maschinenidentitäten dienen, in die Hände von Angreifern fallen, können sie enormen Schaden anrichten.

ds: Inwieweit können Cyberkriminelle diese Prozesse nutzen, um einem Unternehmen Schaden zuzufügen?

Bocek: Code Signing-Prozesse werden dafür verwendet, um die Authentizität von Software-Updates für eine Vielzahl von Softwareprodukten zu sichern und sicherzustellen, einschließlich Firmware, Betriebssysteme, mobile Anwendungen und Anwendungscontainer-Images. Allerdings werden über 25 Millionen bösartige Binärdateien mit Code Signing-Zertifikaten aktiviert, und Cyberkriminelle missbrauchen diese Zertifikate bei ihren Angriffen. So haben Sicherheitsforscher kürzlich bösartige Akteure entdeckt, die Malware in Antivirenprogrammen verstecken, indem sie Uploads mit gültigen Code Signing-Zertifikaten signierten.

ds: Ist dies ein bekanntes Problem und was können Unternehmen tun, um es zu lösen?

Bocek: Entwicklungsteams, die keine privaten Schlüssel sichern, sind einer der größten Faktoren, der zum Diebstahl oder Missbrauch von Code Signing-Zugangsdaten führt. Diese Schlüssel könnten auf dem Desktop-Computer, einem Server, einem virtuellen Server oder sogar einem Webserver gespeichert werden. Diese Praktiken gefährden kritische Vermögenswerte, da Cyberkriminellen oder sogar böswillige Mitarbeiter innerhalb des Unternehmens darauf zugreifen könnten. Ohne globale Transparenz ist es für IT-Sicherheits-Teams sehr schwierig das Ausmaß des Risikos zu verstehen, das durch ungeschützte private Schlüssel verursacht wird. Das delegieren der Kontrolle des privaten Schlüsselzugriffs auf die Entwickler erhöht die Wahrscheinlichkeit von Kompromittierungen und bietet wenig Möglichkeiten für eine Schadensbegrenzung.

ds: Wie können Unternehmen aus Expertensicht ihre Code Signing-Schlüssel und Zertifikate besser vor Cyberkriminellen schützen?

Bocek: Sichere CodeSigning-Prozesse ermöglichen es Apps, Updates und Open-Source-Software sicher zu betreiben. Wenn diese aber nicht geschützt sind, können Angreifer sie in leistungsstarke Cyberwaffen verwandeln. Code Signing-Zertifikate waren der Hauptgrund, warum Stuxnet und ShadowHammer so erfolgreich waren. Die Realität ist, dass jedes Unternehmen heute im Bereich der Softwareentwicklung tätig ist, von Banken über Einzelhändler bis hin zu Herstellern. Wenn Sie Code erstellen, Container bereitstellen oder in der Cloud laufen, müssen Sie sich ernsthaft mit der Sicherheit Ihrer Code Signing-Prozesse befassen, um Ihr Unternehmen zu schützen. Sicherheitsteams und Entwickler betrachten die Sicherheit von CodeSigning auf völlig unterschiedliche Weise. Entwickler sind in erster Linie darüber besorgt, dass sie aufgrund der Methoden und Anforderungen ihrer Sicherheitsteams in ihrer Arbeit behindert werden. Diese Trennung schafft oft eine chaotische Situation, die es Angreifern ermöglicht, Schlüssel und Zertifikate zu stehlen. Um sich und ihre Kunden zu schützen, müssen Unternehmen genau verstehen, wo Code Signing verwendet wird, die Kontrolle darüber haben, wie und wann Code Signing erlaubt ist, und die Integration zwischen Code Signing und Development Build-Systemen vorantreiben. Dieser umfassende Ansatz ist der einzige Weg, um Risiken erheblich zu reduzieren und gleichzeitig die Geschwindigkeit und Innovationskraft zu bieten, die Entwickler und Unternehmen heute benötigen.

Sicherheits-Teams müssen einen Dienst bereitstellen, der für alle Entwickler einfach zu bedienen ist. Dies erspart letzteren die Arbeit mit Code-Signing und bietet ersteren die notwendige Transparenz, Intelligenz und Kontrolle, um Code-Signing zu schützen.

Unternehmen können zudem fünf Ratschläge befolgen, um ihre Code Signing-Prozesse besser zu schützen:

Globale Sichtbarkeit schaffen
Der erste Schritt zur Absicherung des Code Signing-Prozesses ist es, dass IT-Sicherheitsabteilungen eine vollständige Transparenz im gesamten Unternehmen für alle Code Signing-Aktivitäten erreichen müssen:
- Wissen, welcher Code signiert wird, unabhängig davon, ob er für den internen oder externen Gebrauch signiert wird oder nicht.
- Wissen, welche Code Signing-Zertifikate verwendet werden und die Zertifizierungsstelle (CA), von der sie kommen, einschließlich intern erstellter Zertifikate.
- Wissen, wer den Code signiert hat, welche Maschine es war, wer wann angemeldet war und mit welchem Signierwerkzeug der Code signiert wurde.
- Wissen, wer, wenn überhaupt, den Code während des Signiervorgangs genehmigt hat.
Zentrale Sicherung aller Code Signing Private Keys
Der nächste Schritt ist, die Schlüssel für die private Code-Signatur auszuschalten, dafür müssen Maschinenidentitäten von allen Entwickler-Computern, Build-Servern, Web-Servern, etc. in einen verschlüsselten, sicheren und zentralisierten Speicher verwaltet werden.
Private Schlüssel sollten diesen Ort niemals verlassen. Unternehmen müssen entsprechende Speichermöglichkeiten zur Verfügung stellen. Ein Beispiel sind Extended Validation (EV)-Zertifikate, sie müssen in einem Hardware-Sicherheitsmodul (HSM) gespeichert werden. Darüber hinaus verlangen einige Compliance-Vorschriften, dass die privaten Schlüssel eines Unternehmens sich an einem bestimmten Ort befinden. Deshalb muss jedes Unternehmen möglicherweise an mehreren Standorten sichere Lösungen anbieten, um alle Anforderungen zu erfüllen.
Definition und Durchsetzung von Richtlinien mit Automatisierung
Einer der Gründe, warum Entwicklungsteams sich gegen eine unternehmensweite Zusammenarbeit wehren, sind Richtlinien. Dabei handelt es sich bei den meisten Fällen um manuelle Prozesse, um die spezifischen Bedürfnisse ihrer Projekte zu erfüllen. Aus diesem Grund sollten Unternehmen eine Plattform für die Code-Signatur bereitstellen, die es jedem Entwicklungsteam ermöglicht, seine Entwicklungsumgebung zu definieren.Code Signing Richtlinien und Workflows:
- Wer ist berechtigt, den Code zu unterschreiben?
- Welche Code Signing Tools sind autorisiert?
- Welche Zertifikate sind erlaubt?
- Wer muss die Code-Signatur genehmigen, basierend auf dem Zertifikatstyp oder der Phase der Softwareentwicklung.
Diese Plattform muss dann automatisch durchsetzen, dass diese definierten Richtlinien durch Workflow-Automatisierung durchgesetzt werden. Um die Akzeptanz zu gewährleisten, sollte die Plattform Code Signing Tools von Drittanbietern integrieren können, die sich bereits in der Nutzungs- und Unternehmensplattformen befinden, z.B. Active Directory, Ticketingsysteme und andere SIEM-Tools.
Mehr Geschwindigkeit und Benutzerfreundlichkeit des Code Signing-Prozesses
Es ist eine unerwünschte Belastung für die Softwareentwicklung, wenn die Teams, um ihre Code Signing Aktivitäten zu verwalten, die verwendenden Zertifikate ermitteln müssen. In bestimmten Situationen dauert das Anfordern einer Code-Signierung eines Zertifikats von einer CA länger und dann wären da noch Verlängerungen, etc. Das alles braucht Zeit und Fachwissen. Wenn IT-Sicherheitsteams in der Lage sind, diese Belastung mit einer automatisierten, flexiblen Plattform, die die Bedürfnisse der Entwicklungsteams unterstützt, werden diese in der Lage sein, ihr Ziel einer schnelleren Softwarebereitstellung zu erreichen. Aber es muss bedacht werden, dass die angebotene Lösung nicht in der Lage sein darf neue Belastungen einführen.
Konformität anzeigen
IT-Sicherheitsteams sind damit beauftragt, die Sicherheit der Unternehmensinformationen und -daten, einschließlich der Codes Signing-Anmeldeinformationen zu schützen. Sie müssen in der Lage sein, zu zeigen, dass dieses Ziel effektiv durch einen sicheren Code Signing-Prozess im gesamten Unternehmen erreicht werden kann. Eine Möglichkeit ist eine überprüfbare Aufzeichnung aller Code Signierungen sowie ein Überblick, wo alle privaten Schlüssel gespeichert sind.Venafi Next-Gen Code Signing bietet Funktionen, die alle fünf der oben genannten Schritte zur Sicherung von Code Signing-Prozessen umsetzen. Darüber hinaus ist es so konzipiert, dass es für kleine Teams bis hin zu Teams mit Zehntausenden von Entwicklern reicht. Außerdem stellt das reichhaltige Venafi-Ökosystem von Partnerintegrationen sicher, dass die Venafi-Plattform mit den gängigsten CAs, HSMs, DevOps-Tools, Softwareentwicklungs-Tools und Build-Infrastrukturumgebungen zusammenarbeitet.Neben der Sicherung von Unternehmenscode-Signierungsprozessen automatisiert Next-Gen Code Signing die Verwaltung aller privaten Schlüssel für die Code-Signierung. Private Code-Signaturschlüssel verlassen niemals die vertrauenswürdige Venafi-Speicherplattform oder angeschlossene Hardware-Sicherheitsmodule (HSMs). Diese neue Lösung bietet IT-Sicherheitsabteilungen umfassende Transparenz und detaillierte Informationen über alle Aspekte der Code-Signierungsvorgänge, einschließlich der Frage, wer den Code und mit welchem Zertifikat signiert, und wer die Anfrage genehmigt sowie wann jede Aktion stattgefunden hat. Auf der Grundlage der Erkenntnisse aus Code Signing-Prozessen liefert Next-Gen Code Signing Compliance- und Audit-Berichte über alle Code Signing-Aktivitäten.

Zu den Eigenschaften der Code Signing Next-Gen-Technologie gehören:
- Skalierbarkeit, die Entwickler an einem Standort unterstützen kann, sowie Zehntausende von Entwicklern, die weltweit verteilt sind, und Millionen von Code Signing-Operationen pro Woche durchführen.
- Automatisierung und Unterstützung für ein breites Spektrum von Softwareentwicklungsprozessen; Entwicklungsteams müssen keine Tools wechseln.
- Ein zentraler, permanenter Speicherort für private Schlüssel, damit sie geschützt bleiben.
- Flexible, anpassbare Richtliniendurchsetzung, die die Anforderungen mehrerer Softwareprojekte unterstützt, einschließlich der Genehmigung von Workflows, Zertifikatstypen, Zertifizierungsstellen, HSMs und Softwareentwicklungs-Tools.
- Ermöglicht es Sicherheitsteams, einen Code Signing-Service bereitzustellen, der Richtlinien durchsetzt und für Entwickler transparent ist.