CI/CD metoda velkého objemu a častého nasazení je základním kamenem agilních týmů a efektivního poskytování softwaru životní cykly. Nicméně, automatizované potrubí může společnost vystavit riziku oslabujících kybernetických útoků. Přestože je podepisování kódu v určité formě automatizováno, ochrana soukromých klíčů a podepisování certifikátů se obvykle provádí ručně, což pak společnost vystavuje dravým kyberzločincům.
Praktiky, jako je sdílení soukromých klíčů, ohrožují potrubí pro hackery. Netěsnost v potrubí může vést ke zpoždění výroby, finanční ztrátě a ohrožení produktů a služeb.
Připomeňme, že hlavní útok dodavatelského řetězce proti softwaru pro monitorování IT Orion společnosti SolarWinds a mnoha jeho klientům ve státní správě v roce 2020 byl způsoben infiltrací platformy pro vytváření softwaru a injektováním malwaru do potrubí.
Služba cloudového podepisování kódu eSigner SSL.com chrání vaše soukromé klíče a přihlašovací údaje a zároveň umožňuje snadnou integraci se službami CI/CD a automatickým podepisováním, a to vše při zachování správného provozu vašeho kanálu CI/CD.
Vylepšete svůj kanál pomocí automatického cloudového podepisování kódu SSL.com
Díky automatickému podepisování kódu založenému na eSigner SSL.com lze zabezpečit celou délku vašeho kanálu CI/CD. I při asynchronním nastavení práce může mít váš tým inženýrů jistotu, že softwarové části, které mezi sebou sdílejí, jsou autentické a bez neoprávněných změn.
Nejlepší funkcí naší služby podepisování kódu je, že poskytujeme automatické ověřování s rychlostí a škálovatelností. Už nemusíte trpět s ruční autorizací přihlášení nebo podepisováním kódu, která stagnuje tvorbu vašeho softwaru. Už žádné starosti se sdílenými soukromými klíči, kterým hrozí kompromitace. Už se nemusíte starat o externí hardware, jako jsou USB tokeny pro certifikáty pro podepisování kódu Extended Validation. Už žádné zpoždění ve výrobě. Budete mít ucpané potrubí, které dodává podle plánu.
eSigner: Podepisování kódu jako služba
Automatizační platformy eSigner
Sada nástrojů eSigner má dvě podepisovací platformy, které nabízejí řešení pro automatizaci podepisování kódu.
CodeSignTool: CodeSignTool je nástroj příkazového řádku pro Podepisování kódu EV certifikáty, které lze použít na různých platformách, včetně Windows, macOS a Linux. Je to obzvláště užitečné pro podepisování citlivých souborů, protože místo podpisu samotného se na SSL.com k podpisu odesílají pouze hodnoty hash souborů. CodeSignTool je také ideální pro vytváření automatizované procesy, jako je podepisování více souborů v dávkách nebo průběžné pracovní postupy integrace/průběžného doručování (CI/CD). Pro více podrobností o podporované příkazy, možnosti a parametry pro CodeSignTool si přečtěte náš článek, Příkazový průvodce eSigner CodeSignTool. A návod, jak používat CodeSignTool k podepisování objektů, aniž byste byli vyzváni k ručnímu zadání OTP pro každý soubor, si přečtěte náš článek průvodce, Automatizujte podepisování EV kódu eSigner.
API: Prostřednictvím eSigner CSC API mohou podnikoví zákazníci SSL.com přistupovat k témuž Konsorcium pro cloudové podepisování (CSC) a API pro podepisování kódu to pohání CodeSignTool pro vývoj jejich vlastních front-end aplikací pro podepisování kódu. Chcete-li vědět, jak používat naše API, přečtěte si náš článek, eSigner API a eSigner Express pro podepisování cloudových dokumentů a kódů EV.
Zabezpečte své soubory
Naše automatické podepisování kódu je založeno na API, které je RESTful službou. Pokud chce společnost mít tisíce softwarových součástí podepsaných automatizovaným způsobem, můžete napsat skript, který může volat naše rozhraní API pro podepisování kódu. To vyžaduje, aby byl po drátě odeslán pouze hash souboru, který zajistí, že celý soubor neopustí prostory vaší sítě. eSigner SSL.com podporuje rozšířenou validaci (EV) i validaci organizace (OV).
Naše automatické podepisování kódu založené na eSigneru zabezpečuje různá pracovní prostředí pro vývoj softwaru, včetně několika automatizačních serverů (Jenkins, Github Actions, Gitlab CI, Circle CI a Travis CI) a programovací jazyky.
Stavět plynule
Díky automatickému podepisování kódu na bázi hash mohou vaše pracovní postupy CI/CD dosáhnout rychlosti i bezpečnosti. eSigner SSL.com vám umožňuje podepisovat obrovské množství softwaru, což vede k rychlejšímu doručení zákazníkům.
Zažijte dobře řízené podpisy
Automatizované podepisování kódu pomocí eSigner zabraňuje chybám, jako jsou soukromé klíče, které vaši inženýři nezabezpečují při vytváření jejich automatizačních skriptů.
S automatickým podepisováním kódu pomocí eSigner SSL.com můžete přidělit role podepisování a správy konkrétním zaměstnancům. Budete vědět, kdo byl autorem kódu a kdy byl podpis proveden. Oprávnění k podepisování můžete kdykoli ovládat nebo měnit.
Pomocí eSigner lze bezpečné podepisování kódu implementovat v celém vašem kanálu, od začátku do konce. To vás ochrání před útoky dodavatelského řetězce, které byly pozorovány jako způsobeny malwarem injektovaným hackery v dřívějších fázích nezabezpečené tvorby softwaru.
eSigner CKA (Adaptér cloudového klíče)
eSigner CKA od SSL.com je plugin Microsoft Crypto Next Generation (CNG), který umožňuje nástrojům Windows, jako je certutil.exe a signtool.exe, používat pro operace podepisování kódu API kompatibilní s eSigner Cloud Signature Consortium (CSC).
eSiger CKA podporuje automatické podepisování kódu EV přidané pro prostředí CI/CD. To zvyšuje zabezpečení kanálu DevOps zajištěním, že softwarové komponenty sdílené inženýry jsou ověřeny certifikátem SSL.com EV Code Signing. Hackerům je proto zabráněno ohrozit proces vytváření vašeho softwaru, protože škodlivý soubor, který se pokusí vložit, bude identifikován jako nepodepsaný pomocí eSigner CKA. I když vaši technici pracují na různých plánech a místech, mohou si být jisti, že software, který spolu sdílejí na vaší platformě CI/CD, je legitimní.
Chcete-li zjistit, jak nainstalovat a používat eSigner CKA, přejděte na náš článek: Jak automatizovat podepisování kódu EV pomocí Signtool.exe nebo Certutil.exe pomocí eSigner CKA (Cloud Key Adapter).
Specifické průvodce integrací služeb CI/CD
eSigner Cloud Code Signing lze integrovat do téměř jakékoli služby CI/CD. Níže jsou konkrétní příručky pro několik nejoblíbenějších služeb využívajících výše uvedené nástroje.
- Integrace cloudového podepisování kódu s CircleCI
- Integrace cloudového podepisování kódu s akcemi GitHub
- Integrace cloudového kódového podpisu s GitLab CI
- Integrace cloudového podepisování kódu s Travis CI
- Integrace cloudového podepisování kódu s Jenkins CI
- Integrace cloudového podepisování kódu s Azure DevOps
- Integrace cloudového podepisování kódu s BitBucket
Pro uživatele Github, kteří potřebují knihovnu pro integraci eSigneru EV Code Signing s GitHub Actions CI/CD, aby mohli používat podepisování kódu eSigner ve svém procesu automatizovaného vydávání, klikněte na toto https://trials.autocruitment.com pro přístup k užitečným zdrojům.
Shrnutí
Automatizované podepisování kódu pomocí eSigner SSL.com poskytuje chráněné a centrálně spravované prostředí pro zabezpečení vašich softwarových komponent, soukromých klíčů, přihlašovacích údajů a podepisovacích záznamů. Protože lze eSigner bez problémů integrovat se špičkovými službami CI/CD, mohou se softwaroví inženýři a manažeři více soustředit na svou primární roli při vývoji programů, aniž by se museli starat o kompromis kódu. Výhodné vlastnosti eSigneru lze shrnout do následujících bodů:
- Dynamické rozhraní umožňuje integraci s různými CI/CD službami.
- Softwarové komponenty v každé fázi kanálu CI/CD lze podepsat a zabezpečit.
- Všechny aktivity podepisování kódu v kanálu lze automatizovat.
- Cloudové podepisování umožňuje pohodlný přístup k podepisování podnikového kódu
Informace o předplatném eSigner a certifikátech pro podepisování kódu, včetně velkoobjemových a vlastních řešení, získáte na sales@ssl.com nebo vyplňte formulář níže.
