Integritas Perangkat Lunak
Buktikan keaslian perangkat lunak Anda: sebelum menjalankannya di komputer siapa pun.
Dua cara untuk menandatangani dan melindungi perangkat lunak Anda
Sertifikat Penandatanganan Kode
Tandatangani kode Anda dengan identitas yang tervalidasi. IV untuk individu, OV untuk organisasi, EV untuk kepercayaan maksimal dan identitas penerbit yang terverifikasi.
eSigner untuk Kode: Penandatanganan Berbasis Cloud
Tanda tangan dari cloud. Tidak memerlukan token perangkat keras. Terintegrasi dengan GitHub Actions, Jenkins, Azure DevOps, dan banyak lagi.
SSLSertifikat penandatanganan kode dan layanan penandatanganan cloud dari memungkinkan Anda menandatangani file yang dapat dieksekusi, driver, skrip, dan firmware secara kriptografis, sehingga pengguna, platform, dan sistem operasi dapat memverifikasi keaslian perangkat lunak Anda dan memastikan tidak ada perubahan sebelum dijalankan. Setiap level sertifikat dan layanan penandatanganan cloud memiliki rantai kepercayaan yang sama, sehingga pilihan yang tepat bergantung pada siapa yang perlu dicantumkan dalam tanda tangan dan bagaimana Anda ingin mengelola kunci privat, bukan pada perbedaan keamanan.
Kode yang tidak ditandatangani atau ditandatangani secara tidak benar merupakan salah satu vektor serangan utama dalam rantai pasokan perangkat lunak.
Serangan rantai pasokan perangkat lunak, dari SolarWinds hingga XZ Para pengembang utilitas telah memperjelas satu hal: integritas kode antara pengembang dan pengguna akhir tidak terjamin tanpa penandatanganan kriptografi. Sistem operasi, platform, dan alat keamanan semakin membutuhkan biner yang ditandatangani, dan pergeseran ini sekarang didukung oleh kebijakan serta praktik: NIST Kerangka Kerja Pengembangan Perangkat Lunak Aman (Secure Software Development Framework/SSDF) dan persyaratan rantai pasokan perangkat lunak yang mengikuti Perintah Eksekutif 14028 sama-sama menyerukan adanya bukti asal usul yang ditandatangani pada artefak perangkat lunak, dan kerangka kerja kepatuhan termasuk SLSA dan SOC 2 dibangun berdasarkan ekspektasi yang sama.
Produk Integritas Perangkat Lunak SSL menjawab dua kebutuhan yang berbeda:
- Sertifikat Penandatanganan Kode: sertifikat tervalidasi yang secara kriptografis mengikat identitas Anda dengan kode yang Anda tandatangani, pada tiga tingkat validasi (IV, OV, EV)
- eSigner untuk Kode: layanan penandatanganan berbasis cloud yang menghilangkan persyaratan token perangkat keras untuk EV penandatanganan kode, memungkinkan integrasi pipeline CI/CD yang mulus.
Bandingkan opsi sertifikat penandatanganan kode.
Kepatuhan & Standar
Kode Otentikasi Microsoft
Semua penandatanganan executable Windows, OV dan EV tepercaya.
Driver Mode Kernel Windows
Membutuhkan sertifikat penandatanganan kode EV.
Microsoft SmartScreen
Nama organisasi Anda yang terverifikasi ditampilkan sebagai penerbit dalam pemberitahuan SmartScreen.
Penjaga Gerbang Apple / Notarisasi
Distribusi macOS memerlukan penandatanganan ID Pengembang dan notarisasi.
CA/B Forum Penandatanganan Kode BR
Semua sertifikat SSL mematuhi Persyaratan Dasar Penandatanganan Kode.
