Metoda CI/CD dużej ilości i częstych wdrożeń to podstawa zwinnych zespołów i wydajnego dostarczania oprogramowania cykle życia. Jednak zautomatyzowane rurociągi może narazić firmę na wyniszczające cyberataki. Mimo że podpisywanie kodu jest w jakiejś formie zautomatyzowane, ochrona kluczy prywatnych i podpisujących certyfikatów jest zwykle wykonywana ręcznie, co następnie naraża firmę na drapieżnych cyberprzestępców.
Praktyki, takie jak udostępnianie kluczy prywatnych, narażają potok na ryzyko hakerów. Wyciek w rurociągu może prowadzić do opóźnień w produkcji, strat finansowych oraz wadliwych produktów i usług.
Przypomnijmy, że główny atak łańcucha dostaw w 2020 r. na oprogramowanie monitorujące Orion IT firmy SolarWinds i wielu jego klientów w rządzie był spowodowany infiltracją platformy tworzenia oprogramowania i wstrzyknięciem złośliwego oprogramowania.
Usługa podpisywania kodu w chmurze eSigner firmy SSL.com chroni klucze prywatne i poświadczenia podpisywania, umożliwiając jednocześnie łatwą integrację z usługami CI/CD i automatyczne podpisywanie, a wszystko to przy jednoczesnym utrzymaniu prawidłowego przepływu CI/CD.
Ulepsz swój potok dzięki zautomatyzowanemu podpisywania kodu w chmurze SSL.com
Dzięki zautomatyzowanemu podpisaniu kodu opartego na SSL.com eSigner, cała długość potoku CI/CD może być zabezpieczona. Nawet przy asynchronicznej konfiguracji pracy zespół inżynierów może mieć pewność, że elementy oprogramowania, które udostępniają sobie nawzajem, są autentyczne i wolne od nieautoryzowanych zmian.
Najlepszą cechą naszej usługi podpisywania kodu jest to, że zapewniamy automatyczne uwierzytelnianie z szybkością i skalowalnością. Nie musisz już cierpieć z powodu ręcznej autoryzacji logowania lub operacji podpisywania kodu, która powoduje stagnację kompilacji oprogramowania. Koniec z obawami o współdzielone klucze prywatne, które mogą zostać naruszone. Nie musisz się już martwić zewnętrznym sprzętem, takim jak tokeny USB dla certyfikatów podpisujących kod Extended Validation. Koniec z opóźnieniami w produkcji. Będziesz mieć niezatkany potok, który dostarcza zgodnie z harmonogramem.
eSigner: podpisywanie kodu jako usługa
Platformy automatyzacji eSigner
Zestaw narzędzi eSigner zawiera dwie platformy do podpisywania, które oferują rozwiązania do automatyzacji podpisywania kodu.
Narzędzie do podpisywania kodu: Narzędzie CodeSign to narzędzie wiersza poleceń dla Podpisywanie kodu EV certyfikaty, których można używać na różnych platformach, w tym Windows, macOS i Linux. Jest to szczególnie przydatne do podpisywania poufnych plików, ponieważ do SSL.com są wysyłane tylko skróty plików, a nie sam kod. CodeSignTool jest również idealny do tworzenia zautomatyzowane procesy, takie jak podpisywanie wielu plików w partiach lub przepływy pracy potoków ciągłej integracji/ciągłego dostarczania (CI/CD). Aby uzyskać więcej informacji dotyczących obsługiwane polecenia, opcje i parametry w przypadku CodeSignTool zapoznaj się z naszym artykułem, Przewodnik po poleceniach eSigner CodeSignTool. Aby uzyskać przewodnik, jak używać CodeSignTool do podpisywania obiektów bez konieczności ręcznego wprowadzania OTP dla każdego pliku, przeczytaj nasz artykuł przewodnika, Zautomatyzuj podpisywanie kodów eSigner EV.
Pszczoła: Dzięki eSigner CSC API klienci korporacyjni SSL.com mogą uzyskać dostęp do tego samego Konsorcjum ds. Podpisywania w Chmurze (CSC) i Interfejsy API do podpisywania kodu które zasilają CodeSignTool do tworzenia własnych aplikacji front-end do podpisywania kodu. Aby dowiedzieć się, jak korzystać z naszego API, przeczytaj nasz artykuł, eSigner API i eSigner Express do podpisywania dokumentów w chmurze i kodów EV.
Zabezpiecz swoje pliki
Nasze automatyczne podpisywanie kodu opiera się na API, które jest usługą RESTful. Jeśli firma chce mieć podpisane tysiące elementów oprogramowania w sposób zautomatyzowany, możesz napisać skrypt, który może wywołać nasze API do podpisywania kodu. Wymaga to jedynie przesłania skrótu pliku przez sieć, zapewniając, że pełny plik nie opuści Twojej siedziby w sieci. eSigner SSL.com obsługuje zarówno Extended Validation (EV) jak i Organization Validation (OV).
Nasze zautomatyzowane podpisywanie kodu oparte na eSigner zabezpiecza różne obszary robocze tworzenia oprogramowania, w tym wiele serwerów automatyzacji (Jenkins, Github Actions, Gitlab CI, Circle CI i Travis CI) oraz języki programowania.
Buduj płynnie
Dzięki zautomatyzowanemu podpisaniu kodu opartego na hashach przepływy pracy CI/CD mogą osiągnąć zarówno szybkość, jak i bezpieczeństwo. eSigner SSL.com umożliwia podpisywanie ogromnych ilości oprogramowania, co prowadzi do szybszej dostawy do klientów.
Doświadcz dobrze zarządzanych podpisów
Zautomatyzowane podpisywanie kodu za pomocą eSigner pozwala uniknąć błędów, takich jak klucze prywatne, które nie są zabezpieczone przez inżynierów podczas tworzenia skryptów automatyzacji.
Dzięki funkcji automatycznego podpisywania kodu obsługiwanej przez SSL.com eSigner możesz przydzielić role związane z podpisami i zarządzaniem określonym pracownikom. Dowiesz się, kto był sygnatariuszem kodu i kiedy zostało wykonane. W dowolnym momencie możesz kontrolować lub zmieniać uprawnienia do podpisywania.
Korzystając z eSigner, można wdrożyć bezpieczne podpisywanie kodu w całym potoku, od początku do końca. Chroni to przed atakami w łańcuchu dostaw, które zostały zaobserwowane jako spowodowane złośliwym oprogramowaniem wstrzykniętym przez hakerów na wcześniejszych etapach tworzenia niezabezpieczonego oprogramowania.
eSigner CKA (adapter klucza w chmurze)
SSL.com eSigner CKA to wtyczka Microsoft Crypto Next Generation (CNG), która umożliwia narzędziom Windows, takim jak certutil.exe i signtool.exe, używanie interfejsu API zgodnego z eSigner Cloud Signature Consortium (CSC) do operacji podpisywania kodu.
eSiger CKA obsługuje automatyczne podpisywanie kodu EV dodane dla środowisk CI/CD. Zwiększa to bezpieczeństwo potoku DevOps, zapewniając, że komponenty oprogramowania udostępniane przez inżynierów są uwierzytelniane za pomocą certyfikatu SSL.com EV Code Signing. W ten sposób hakerzy nie mogą narażać procesu tworzenia oprogramowania, ponieważ złośliwy plik, który próbują wstrzyknąć, zostanie zidentyfikowany jako niepodpisany za pomocą eSigner CKA. Nawet jeśli twoi inżynierowie pracują według różnych harmonogramów i lokalizacji, mogą być pewni, że oprogramowanie, które udostępniają sobie na platformie CI/CD, jest legalne.
Aby dowiedzieć się, jak zainstalować i używać eSigner CKA, przejdź do naszego artykułu: Jak zautomatyzować podpisywanie kodów EV za pomocą Signtool.exe lub Certutil.exe przy użyciu eSigner CKA (adapter kluczy w chmurze).
Przewodniki integracji konkretnych usług CI/CD
eSigner Cloud Code Signing można zintegrować z prawie każdą usługą CI/CD. Poniżej znajdują się szczegółowe przewodniki po kilku najpopularniejszych usługach korzystających z wymienionych powyżej narzędzi.
- Integracja Cloud Code Signing z CircleCI
- Integracja Cloud Code Signing z działaniami GitHub
- Integracja Cloud Code Signing z GitLab CI
- Integracja Cloud Code Signing z Travis CI
- Integracja Cloud Code Signing z Jenkins CI
- Integracja podpisywania kodu w chmurze z usługą Azure DevOps
- Integracja podpisywania kodu w chmurze z BitBucket
Dla użytkowników Github, którzy potrzebują biblioteki do integracji EV Code Signing eSigner z GitHub Actions CI/CD, aby mogli używać podpisywania kodu eSigner w swoim zautomatyzowanym procesie wydawania, kliknij to link aby uzyskać dostęp do przydatnych zasobów.
Podsumowanie
Automatyczne podpisywanie kodu za pomocą eSigner SSL.com zapewnia chronione i centralnie zarządzane środowisko do zabezpieczania składników oprogramowania, kluczy prywatnych, poświadczeń i rekordów podpisywania. Ponieważ eSigner można bezproblemowo zintegrować z najlepszymi usługami CI/CD, inżynierowie oprogramowania i menedżerowie mogą bardziej skoncentrować się na swojej podstawowej roli, jaką jest tworzenie programów, nie martwiąc się o to kompromitacja kodu. Zalety eSignera można podsumować w następujących punktach:
- Dynamiczny interfejs umożliwia integrację z różnymi usługami CI/CD.
- Komponenty oprogramowania na każdym etapie potoku CI/CD mogą być podpisane i zabezpieczone.
- Wszystkie działania podpisywania kodu w potoku można zautomatyzować.
- Podpisywanie w chmurze pozwala na wygodne podejście do podpisywania kodu przedsiębiorstwa
Aby uzyskać informacje na temat subskrypcji eSigner i certyfikatów podpisywania kodu, w tym rozwiązań niestandardowych i na dużą skalę, skontaktuj się z sales@ssl.com lub wypełnij poniższy formularz.
