Vorsicht bei Code Signing-Zertifikaten geboten

Ein Kommentar von Kevin Bocek, VP Security Strategy & Threat Intelligence bei Venafi

[datensicherheit.de, 30.04.2019] Der Sicherheitsverstoß beim Docker Hub, der 190.000 Nutzer gefährdet und am Wochenende öffentlich wurde, ist nur ein weiterer Angriff auf Software-Sharing-Center wie GitHub. Da diese Zentren von Open-Source-Entwicklern und fast jedem größeren Unternehmen genutzt werden, besteht das Risiko, dass Angreifer Container oder Code ändern, indem sie Backdoor und bösartigen Code einfügen, um Angriffe zu ermöglichen.

Code Signing-Zertifikate sollen die Authentizität des Codes schützen

Code Signing-Zertifikate – eine Art von Maschinenidentität – schützen die Authentizität des Codes: Sie bestimmen, welcher Entwickler den Code produziert hat und dass der Code nicht verändert wurde. Ohne Code-Signatur kann Code geändert oder neuer Code in Entwickler-Hubs eingefügt werden. Es ist wichtig, dass jedes Unternehmen, das Software entwickelt – und jedes Unternehmen von heute wendet sich schnell an Softwareentwickler von Banken bis hin zu Einzelhändlern – Code Signing verwendet, um sich vor Verletzungen am Docker Hub, GitHub und an Software-Repositories zu schützen. Aus diesem Grund ist jede Android-, iOS-, OS X- und Windows-Anwendung jetzt mit einem Code signiert.

Foto: Venafi

Kevin Bocek, VP Security Strategy and Threat Intelligence, Venafi

Ungeschützt können Maschinenidentitäten missbraucht werden

Aber wenn sie ungeschützt bleiben, ist die Codesignatur eine mächtige Waffe. Beim Sicherheitsvorfall von Stuxnet wurden gestohlene Codesignatur-Maschinenidentitäten verwendet, um völlig vertrauenswürdig zu arbeiten. Vor kurzem wurden bei ASUS Code Signing-Zertifikate missbraucht, um vertrauenswürdige Malware zu erstellen. Darüber hinas verfolgt McAfee weit über 20 Millionen Malware mit gestohlenen oder bösartigen Code Signing-Zertifikaten. Während Unternehmen also die Codesignatur zum Schutz vor Verstößen wie beim Docker Hub einsetzen müssen, schützen sie am ehesten auch den Prozess der sicheren Codeauslieferung.

Weitere Informationen zum Thema:

datensicherheit.de, 29.03.2019
Venafi-Studie: Fast zwei Drittel der Unternehmen erlebten im vergangenen Jahr zertifikatsbedingte Ausfälle

datensicherheit.de, 08.11.2018
Venafi-Studie: 86 Prozent der deutschen Sicherheitsexperten halten Wahldaten für gefährdet

datensicherheit.de, 19.09.2018
Heartbleed: OpenSSL-Schwachstelle wird immer noch ausgenutzt

datensicherheit.de, 09.08.2018
WhatsApp-Sicherheitsvorfall untergräbt das Vertrauen im Internet