ソフトウェアの整合性
ソフトウェアが本物であることを証明してください。誰かのマシンで実行する前に
ソフトウェアに署名して保護する2つの方法
コード署名証明書
認証済みのIDを使用してコードに署名してください。個人の場合はIV、組織の場合はOV、最大限の信頼性と認証済みの発行者IDが必要な場合はEVを使用してください。
コード向け電子署名ツール：クラウド署名
クラウドから署名。ハードウェアトークンは不要です。GitHub Actions、Jenkins、Azure DevOpsなどと連携します。
SSLのコード署名証明書とクラウド署名サービスを利用すると、実行ファイル、ドライバ、スクリプト、ファームウェアに暗号署名を行うことができます。これにより、ユーザー、プラットフォーム、オペレーティングシステムは、ソフトウェアが実行前に正規のものであり、改ざんされていないことを検証できます。すべての証明書レベルとクラウド署名サービスは、同じ基盤となる信頼チェーンを共有しているため、最適な選択は、セキュリティの違いではなく、署名に誰の名前を記載する必要があるか、秘密鍵をどのように管理したいかによって決まります。
署名されていないコード、または不適切に署名されたコードは、ソフトウェアサプライチェーン攻撃の主要な攻撃経路の一つである。
ソフトウェアサプライチェーン攻撃、SolarWindsから XZ ユーティリティは、暗号署名なしでは開発者とエンドユーザー間のコードの完全性が保証されないことを明確にしました。オペレーティングシステム、プラットフォーム、セキュリティツールは署名付きバイナリをますます要求するようになり、この変化はポリシーと実践の両方によって裏付けられています。 NIST セキュアソフトウェア開発フレームワーク（SSDF）と大統領令14028号に続くソフトウェアサプライチェーン要件は、ソフトウェア成果物への署名付き出所証明を要求しており、コンプライアンスフレームワークには以下が含まれます。 SLSA そしてSOC 2も同じ期待に基づいて構築されています。
SSLのソフトウェアインテグリティ製品は、2つの異なるニーズに対応します。
- コード署名証明書: 署名するコードにあなたの身元を暗号的に関連付ける検証済み証明書、3 つの検証レベル (IV, OV, EV)
- コード用の電子署名者: ハードウェアトークンの要件を排除するクラウドベースの署名サービス EV コード署名により、シームレスなCI/CDパイプライン統合が可能になります。
コード署名証明書のオプションを比較する
Compliance & Standards
Microsoft Authenticode
すべてのWindows実行可能ファイルの署名、OVおよびEVの信頼済み
Windowsカーネルモードドライバー
EVコード署名証明書が必要です
マイクロソフト スマートスクリーン
SmartScreenのプロンプトには、認証済みの組織名が発行者として表示されます。
Apple Gatekeeper / 公証
macOSの配布には、開発者IDの署名と公証が必要です。
CA/Bフォーラム コード署名BR
すべてのSSL証明書はコード署名基準要件に準拠しています。
