Die CI/CD-Methode für hohes Volumen und häufige Bereitstellungen ist ein Eckpfeiler agiler Teams und effizienter Softwarebereitstellung Lebenszyklen. Allerdings automatisierte Pipelines kann ein Unternehmen dem Risiko schwächender Cyberangriffe aussetzen. Obwohl Codesignaturen in irgendeiner Form automatisiert werden, erfolgt der Schutz privater Schlüssel und Signaturzertifikate normalerweise manuell, wodurch ein Unternehmen räuberischen Cyberkriminellen ausgesetzt wird.
Praktiken wie das Teilen privater Schlüssel setzen die Pipeline einem Risiko für Hacker aus. Ein Leck in der Pipeline kann zu Produktionsverzögerungen, finanziellen Verlusten und Beeinträchtigungen von Produkten und Dienstleistungen führen.
Denken Sie daran, dass der große Lieferkettenangriff im Jahr 2020 auf die IT-Überwachungssoftware Orion von SolarWinds und viele seiner Regierungskunden darauf zurückzuführen war, dass seine Software-Build-Plattform infiltriert und Malware in seine Pipeline injiziert wurde.
Der eSigner-Cloud-Code-Signaturdienst von SSL.com schützt Ihre privaten Schlüssel und Anmeldeinformationen und ermöglicht gleichzeitig eine einfache Integration mit CI/CD-Diensten und automatisierte Signaturen, während Ihre CI/CD-Pipeline gut geölt bleibt.
Verbessern Sie Ihre Pipeline mit SSL.com Automated Cloud Code Signing
Mit der eSigner-basierten automatisierten Codesignatur von SSL.com kann die gesamte Länge Ihrer CI/CD-Pipeline gesichert werden. Selbst bei einem asynchronen Arbeitsaufbau kann Ihr Team von Ingenieuren sicher sein, dass die Softwareteile, die sie gemeinsam nutzen, dies sind authentisch und frei von unbefugten Änderungen.
Das Beste an unserem Codesignatur-Service ist, dass wir eine automatisierte Authentifizierung mit Geschwindigkeit und Skalierbarkeit bereitstellen. Sie müssen sich nicht mehr mit einer manuellen Anmeldeautorisierung oder Code-Signatur-Operation herumschlagen, die Ihren Software-Build stagnieren lässt. Keine Sorgen mehr über gemeinsame private Schlüssel, die gefährdet sind, kompromittiert zu werden. Machen Sie sich keine Gedanken mehr über externe Hardware wie USB-Token für Code Signing-Zertifikate mit Extended Validation. Keine Verzögerungen mehr in der Produktion. Sie haben eine nicht verstopfte Pipeline, die termingerecht liefert.
eSigner: Code Signing als Service
eSigner-Automatisierungsplattformen
Das eSigner-Toolkit verfügt über zwei Signaturplattformen, die Lösungen für die Code-Signatur-Automatisierung bieten.
CodeSign-Tool: CodeSignTool ist ein Kommandozeilen-Dienstprogramm für EV-Codesignatur Zertifikate, die auf verschiedenen Plattformen verwendet werden können, einschließlich Windows, macOS und Linux. Es ist besonders nützlich, um sensible Dateien zu signieren, da nur die Hashes der Dateien zum Signieren an SSL.com gesendet werden, und nicht der Code selbst. CodeSignTool ist auch ideal zum Erstellen automatisierte Prozesse wie das Signieren mehrerer Dateien in Stapeln oder Continuous Integration/Continuous Delivery (CI/CD)-Pipeline-Workflows. Für weitere Einzelheiten bzgl unterstützte Befehle, Optionen und Parameter für CodeSignTool finden Sie in unserem Artikel, eSigner CodeSignTool-Befehlshandbuch. Und für eine Anleitung zur Verwendung von CodeSignTool zum Signieren von Objekten, ohne zur manuellen OTP-Eingabe für jede Datei aufgefordert zu werden, lesen Sie bitte unseren Anleitungsartikel, Automatisieren Sie die Signatur des eSigner EV-Codes.
APIs: Über die eSigner CSC-API können Unternehmenskunden von SSL.com darauf zugreifen Cloud-Signatur-Konsortium (CSC) und Code-Signing-APIs die Power CodeSignTool für die Entwicklung ihrer eigenen Front-End-Codesignatur-Apps. Um zu erfahren, wie Sie unsere API verwenden, lesen Sie bitte unseren Artikel, eSigner API und eSigner Express für die Signierung von Cloud-Dokumenten und EV-Codes.
Sichern Sie Ihre Dateien
Unsere automatisierte Codesignierung basiert auf einer API, die ein RESTful-Service ist. Wenn ein Unternehmen Tausende von Softwareteilen automatisiert signieren lassen möchte, können Sie ein Skript schreiben, das unsere Code Signing API aufrufen kann. Dazu muss nur der Hash der Datei über die Leitung gesendet werden, um sicherzustellen, dass die vollständige Datei Ihr Netzwerk nicht verlässt. Der eSigner von SSL.com unterstützt sowohl Extended Validation (EV) als auch Organization Validation (OV).
Unsere eSigner-basierte automatisierte Code-Signierung sichert verschiedene Arbeitsbereiche für die Softwareentwicklung, einschließlich mehrerer Automatisierungsserver (Jenkins, Github Actions, Gitlab CI, Circle CI und Travis CI) und Programmiersprachen.
Reibungslos bauen
Mit einer Hash-basierten automatisierten Codesignierung können Ihre CI/CD-Workflows sowohl Geschwindigkeit als auch Sicherheit erreichen. Der eSigner von SSL.com ermöglicht es Ihnen, große Mengen an Softwarevolumen zu signieren, was zu einer schnelleren Lieferung an Kunden führt.
Erleben Sie gut geführte Neuverpflichtungen
Die automatisierte Codesignierung mit eSigner vermeidet Fehler wie private Schlüssel, die von Ihren Ingenieuren beim Erstellen ihrer Automatisierungsskripte nicht gesichert werden.
Mit der eSigner-gestützten automatisierten Codesignierung von SSL.com können Sie bestimmten Mitarbeitern Signatur- und Verwaltungsrollen zuweisen. Sie wissen, wer der Code-Unterzeichner war und wann die Unterzeichnung durchgeführt wurde. Sie können die Signaturberechtigungen jederzeit steuern oder ändern.
Mit eSigner kann sichere Codesignierung in Ihrer gesamten Pipeline von Anfang bis Ende implementiert werden. Dies schützt Sie vor Supply-Chain-Angriffen, die durch Malware verursacht wurden, die von Hackern in den früheren Phasen eines unsicheren Software-Builds injiziert wurde.
eSigner CKA (Cloud Key Adapter)
eSigner CKA von SSL.com ist ein Microsoft Crypto Next Generation (CNG)-Plugin, das es Windows-Tools wie certutil.exe und signtool.exe ermöglicht, die mit dem eSigner Cloud Signature Consortium (CSC) kompatible API für Codesignaturvorgänge zu verwenden.
eSiger CKA unterstützt automatisierte EV-Codesignaturen, die für CI/CD-Umgebungen hinzugefügt wurden. Dies erhöht die Sicherheit der DevOps-Pipeline, indem sichergestellt wird, dass die von Ingenieuren gemeinsam genutzten Softwarekomponenten mit einem SSL.com EV Code Signing-Zertifikat authentifiziert werden. Hacker werden daher daran gehindert, Ihren Software-Build-Prozess zu kompromittieren, da eine schädliche Datei, die sie einzufügen versuchen, als nicht mit eSigner CKA signiert identifiziert wird. Selbst wenn Ihre Ingenieure nach unterschiedlichen Zeitplänen und Orten arbeiten, können sie sicher sein, dass die Software, die sie auf Ihrer CI/CD-Plattform gemeinsam nutzen, legitim ist.
Um herauszufinden, wie Sie eSigner CKA installieren und verwenden, gehen Sie zu unserem Artikel: So automatisieren Sie die EV-Code-Signierung mit Signtool.exe oder Certutil.exe mit eSigner CKA (Cloud Key Adapter).
Spezifische CI/CD-Service-Integrationsleitfäden
eSigner Cloud Code Signing kann in nahezu jeden CI/CD-Dienst integriert werden. Nachfolgend finden Sie spezifische Anleitungen für einige der beliebtesten Dienste, die die oben genannten Tools verwenden.
- Cloud Code Signing-Integration mit CircleCI
- Cloud Code Signing-Integration mit GitHub-Aktionen
- Cloud Code Signing-Integration mit GitLab CI
- Cloud Code Signing-Integration mit Travis CI
- Cloud Code Signing-Integration mit Jenkins CI
- Cloud Code Signing-Integration mit Azure DevOps
- Cloud Code Signing-Integration mit BitBucket
Für Github-Benutzer, die eine Bibliothek zum Integrieren von EV Code Signing eSigner in GitHub Actions CI/CD benötigen, damit sie eSigner-Codesignaturen in ihrem automatisierten Freigabeprozess verwenden können, klicken Sie hier Link um auf nützliche Ressourcen zuzugreifen.
Zusammenfassung
Automatisierte Code-Signierung mit dem eSigner von SSL.com bietet eine geschützte und zentral verwaltete Umgebung zum Sichern Ihrer Softwarekomponenten, privaten Schlüssel, Anmeldeinformationen und Signaturdatensätze. Da eSigner nahtlos in die besten CI/CD-Dienste integriert werden kann, können sich Softwareingenieure und Manager mehr auf ihre primäre Rolle der Programmentwicklung konzentrieren, ohne sich Gedanken darüber machen zu müssen Code-Kompromiss. Die vorteilhaften Eigenschaften von eSigner lassen sich in folgenden Punkten zusammenfassen:
- Eine dynamische Schnittstelle ermöglicht die Integration mit verschiedenen CI/CD-Diensten.
- Softwarekomponenten in jeder Phase der CI/CD-Pipeline können signiert und gesichert werden.
- Alle Codesignaturaktivitäten in der Pipeline können automatisiert werden.
- Die Cloud-Signierung ermöglicht einen bequemen Ansatz für das Signieren von Unternehmenscode
Wenden Sie sich für Informationen zu einem eSigner-Abonnement und Codesignaturzertifikaten, einschließlich hochvolumiger und kundenspezifischer Lösungen, bitte an sales@ssl.com oder füllen Sie das untenstehende Formular aus.
