Intégrité du logiciel
Prouvez que votre logiciel est authentique : avant qu'il ne s'exécute sur la machine de qui que ce soit.
Deux façons de signer et de protéger votre logiciel
Certificats de signature de code
Signez votre code avec une identité validée : IV pour les particuliers, OV pour les organisations, EV pour une confiance maximale et une identité d’éditeur vérifiée.
Signature électronique pour le code : signature dans le cloud
Signature depuis le cloud. Aucun jeton matériel requis. Intégration avec GitHub Actions, Jenkins, Azure DevOps et plus encore.
SSLLes certificats de signature de code et le service de signature cloud de [Nom de l'entreprise] vous permettent de signer cryptographiquement les exécutables, les pilotes, les scripts et les firmwares. Ainsi, les utilisateurs, les plateformes et les systèmes d'exploitation peuvent vérifier l'authenticité et l'intégrité de votre logiciel avant son exécution. Chaque niveau de certificat et le service de signature cloud reposent sur la même chaîne de confiance sous-jacente. Le choix du certificat dépend donc des personnes devant figurer sur la signature et de la manière dont vous souhaitez gérer la clé privée, et non d'une différence de sécurité.
Le code non signé ou mal signé constitue l'un des principaux vecteurs d'attaque de la chaîne d'approvisionnement logicielle.
Attaques contre la chaîne d'approvisionnement logicielle, de SolarWinds à XZ Les utilitaires ont clairement indiqué une chose : l’intégrité du code entre le développeur et l’utilisateur final n’est pas garantie sans signature cryptographique. Les systèmes d’exploitation, les plateformes et les outils de sécurité exigent de plus en plus de binaires signés, et cette évolution est désormais soutenue par des politiques et des pratiques établies. NIST Le cadre de développement logiciel sécurisé (SSDF) et les exigences relatives à la chaîne d'approvisionnement logicielle découlant du décret exécutif 14028 exigent tous deux une traçabilité signée des artefacts logiciels, ainsi que des cadres de conformité incluant SLSA et SOC 2 repose sur la même attente.
Les produits d'intégrité logicielle de SSL répondent à deux besoins distincts :
- Certificats de signature de code: des certificats validés qui lient cryptographiquement votre identité au code que vous signez, à trois niveaux de validation (IV, OV, EV)
- Signature électronique pour le code: un service de signature basé sur le cloud qui élimine l'exigence de jeton matériel pour EV signature de code, permettant une intégration transparente au pipeline CI/CD
Comparer les options de certificats de signature de code
Conformité et normes
Code d'authentification Microsoft
Tous les exécutables Windows sont signés, OV et EV sont approuvés.
Pilotes en mode noyau Windows
Nécessite un certificat de signature de code pour véhicules électriques
Microsoft SmartScreen
Le nom de votre organisation vérifiée s'affiche comme éditeur dans les invites SmartScreen.
Apple Gatekeeper / Notarisation
La distribution macOS nécessite la signature et la notarisation de l'identifiant de développeur.
Code de signature du forum CA/B BR
Tous les certificats SSL sont conformes aux exigences de base en matière de signature de code
