Методът CI/CD с голям обем и чести внедрявания е крайъгълен камък на гъвкавите екипи и ефективната доставка на софтуер жизнени цикли. Въпреки това, автоматизирани тръбопроводи може да изложи компания на риск от изтощителни кибератаки. Въпреки че подписването на кода е автоматизирано под някаква форма, защитата на частните ключове и сертификатите за подписване обикновено се извършва ръчно, което след това излага компанията на хищни киберпрестъпници.
Практики като споделяне на частни ключове излагат тръбопровода на риск за хакерите. Течът в тръбопровода може да доведе до забавено производство, финансови загуби и компрометирани продукти и услуги.
Спомнете си, че през 2020 г. голямата атака на веригата за доставки срещу софтуера за ИТ мониторинг на Orion на SolarWinds и много от неговите клиенти в правителството се дължи на проникването на платформата за изграждане на софтуер и инжектирането на злонамерен софтуер в нейния конвейер.
Услугата за подписване на облачен код eSigner на SSL.com защитава вашите лични ключове и идентификационни данни за подписване, като същевременно позволява лесна интеграция с CI/CD услуги и автоматизирано подписване, като същевременно поддържа вашия CI/CD тръбопровод добре смазан.
Подобрете своя канал с автоматизирано подписване на облачен код SSL.com
С автоматизираното подписване на код, базирано на eSigner на SSL.com, цялата дължина на вашия CI/CD конвейер може да бъде защитена. Дори при асинхронна работна настройка, вашият екип от инженери може да има увереността, че софтуерните части, които споделят един с друг, са автентичен и без неоторизирани промени.
Най-добрата характеристика на нашата услуга за подписване на код е, че предоставяме автоматизирано удостоверяване със скорост и мащабируемост. Вече не е нужно да страдате от ръчно базирано оторизиране за влизане или операция за подписване на код, което стагнира изграждането на вашия софтуер. Край на притесненията за споделени частни ключове, изложени на риск от компрометиране. Вече няма да се притеснявате за външен хардуер, като USB токени за сертификати за подписване на код за разширено валидиране. Без повече забавяния в производството. Ще имате незапушен тръбопровод, който доставя по график.
eSigner: Подписване на код като услуга
Платформи за автоматизация на eSigner
Инструментариумът eSigner има две платформи за подписване, които предлагат решения за автоматизация на подписването на код.
CodeSignTool: CodeSignTool е помощна програма за команден ред за Подписване на EV код сертификати, които могат да се използват на различни платформи, включително Windows, macOS и Linux. Това е особено полезно за подписване на чувствителни файлове, тъй като само хешовете на файловете се изпращат на SSL.com за подписване, вместо на самия код. CodeSignTool също е идеален за създаване автоматизирана процеси, като подписване на множество файлове в пакети или работни потоци на конвейера за непрекъсната интеграция/непрекъсната доставка (CI/CD). За повече подробности относно поддържани команди, опции и параметри за CodeSignTool, моля, вижте нашата статия, eSigner CodeSignTool Командно ръководство. И за ръководство как да използвате CodeSignTool за подписване на обекти, без да бъдете подканени за ръчно въвеждане на OTP за всеки файл, моля, прочетете нашата статия от ръководството, Автоматизирайте подписването на eSigner EV Code.
API-та: Чрез eSigner CSC API корпоративните клиенти на SSL.com имат достъп до същото Консорциум за облачно подписване (CSC) намлява API за подписване на код тази мощ CodeSignTool за разработването на собствени приложения за подписване на код от предния край. За да знаете как да използвате нашия API, моля, прочетете нашата статия, eSigner API и eSigner Express за подписване на документи в облак и EV код.
Защитете вашите файлове
Нашето автоматизирано подписване на код се основава на API, който е RESTful услуга. Ако една компания иска да има хиляди софтуерни части, подписани по автоматизиран начин, можете да напишете скрипт, който да извика нашия API за подписване на код. Това изисква само хешът на файла да бъде изпратен по кабела, като се гарантира, че пълният файл не напуска вашите мрежови помещения. eSigner на SSL.com поддържа както разширено валидиране (EV), така и валидиране на организация (OV).
Нашето автоматизирано подписване на код, базирано на eSigner, осигурява различни работни пространства за разработка на софтуер, включително множество сървъри за автоматизация (Jenkins, Github Actions, Gitlab CI, Circle CI и Travis CI) и езици за програмиране.
Изграждайте гладко
С базирано на хеш автоматизирано подписване на код, вашите CI/CD работни потоци могат да постигнат както скорост, така и сигурност. eSigner на SSL.com ви позволява да подписвате огромни количества софтуер, което води до по-бърза доставка до клиентите.
Изпитайте добре управлявани подписи
Автоматизираното подписване на код с eSigner избягва грешки като частните ключове, които не са защитени от вашите инженери при изграждането на техните скриптове за автоматизация.
С автоматичното подписване на код, задвижвано от eSigner на SSL.com, можете да разпределите роли за подписване и управление на конкретни служители. Ще знаете кой е бил подписващият код и кога е извършено подписването. По всяко време можете да контролирате или променяте привилегиите за подписване.
Използвайки eSigner, сигурното подписване на код може да бъде внедрено в целия ви тръбопровод, от началото до края. Това ви предпазва от атаки на веригата за доставки, които са били наблюдавани като причинени от злонамерен софтуер, инжектиран от хакери в по-ранните фази на несигурно изграждане на софтуер.
eSigner CKA (адаптер за облачен ключ)
eSigner CKA на SSL.com е плъгин на Microsoft Crypto Next Generation (CNG), който позволява на инструменти на Windows като certutil.exe и signtool.exe да използват API, съвместим с eSigner Cloud Signature Consortium (CSC) за операции по подписване на код.
eSiger CKA поддържа автоматизирано подписване на EV код, добавено за CI/CD среди. Това подобрява сигурността на тръбопровода DevOps, като гарантира, че софтуерните компоненти, споделяни от инженерите, са удостоверени със сертификат за подписване на код SSL.com EV. Поради това хакерите не могат да компрометират процеса на компилиране на вашия софтуер, тъй като злонамерен файл, който се опитват да инжектират, ще бъде идентифициран като неподписан с eSigner CKA. Дори ако вашите инженери работят по различни графици и местоположения, те могат да бъдат сигурни, че частта от софтуера, която споделят един с друг на вашата CI/CD платформа, е легитимна.
За да разберете как да инсталирате и използвате eSigner CKA, преминете към нашата статия: Как да автоматизирате подписването на EV код със Signtool.exe или Certutil.exe с помощта на eSigner CKA (адаптер за облачен ключ).
Ръководства за интегриране на специфични CI/CD услуги
eSigner Cloud Code Signing може да се интегрира в почти всяка CI/CD услуга. По-долу са конкретни ръководства за някои от най-популярните услуги, използващи инструменти, споменати по-горе.
- Интегриране на подписване на облачен код с CircleCI
- Интегриране на подписване на облачен код с GitHub Actions
- Интегриране на подписване на облачен код с GitLab CI
- Интегриране на подписване на облачен код с Travis CI
- Интеграция на подписване на облачен код с Jenkins CI
- Интегриране на подписване на облачен код с Azure DevOps
- Интегриране на подписване на облачен код с BitBucket
За потребители на Github, които се нуждаят от библиотека за интегриране на EV Code Signing eSigner с GitHub Actions CI/CD, така че да могат да използват подписване на код eSigner в процеса на автоматизирано издаване, щракнете върху това връзка за достъп до полезни ресурси.
Oбобщение
Автоматичното подписване на код с eSigner на SSL.com предоставя защитена и централно управлявана среда за защита на вашите софтуерни компоненти, лични ключове, идентификационни данни и записи за подписване. Тъй като eSigner може безпроблемно да се интегрира с най-добрите CI/CD услуги, софтуерните инженери и мениджъри могат да се съсредоточат повече върху основната си роля за разработване на програми, без да се притесняват за компромис с кода. Предимствата на eSigner могат да бъдат обобщени в следните точки:
- Динамичният интерфейс позволява интегриране с различни CI/CD услуги.
- Софтуерните компоненти във всеки етап от CI/CD конвейера могат да бъдат подписани и защитени.
- Всички дейности по подписване на код в тръбопровода могат да бъдат автоматизирани.
- Подписването в облак позволява удобен подход към подписването на корпоративни кодове
За информация относно абонамент за eSigner и сертификати за подписване на код, включително големи обеми и персонализирани решения, моля, свържете се с sales@ssl.com или попълнете формуляра по-долу.
