CI/CD-metoden för hög volym och frekventa distributioner är en hörnsten i agila team och effektiv mjukvaruleverans livscyklar. Däremot automatiserade pipelines kan sätta ett företag i riskzonen för försvagande cyberattacker. Trots att kodsignering är automatiserad i någon form, sker skyddet av privata nycklar och signeringscertifikat vanligtvis manuellt, vilket sedan utsätter ett företag för rovdrift på cyberbrottslingar.
Praxis som delning av privata nycklar sätter pipelinen i fara för hackare. En läcka i pipelinen kan leda till försenad produktion, ekonomisk förlust och äventyrade produkter och tjänster.
Kom ihåg att 2020 års stora leveranskedjasattack mot SolarWinds Orion IT-övervakningsprogramvara och många av dess kunder i regeringen berodde på att dess mjukvarubyggande plattform infiltrerades och skadlig programvara injicerades i dess pipeline.
SSL.com:s eSigner molnkodsigneringstjänst skyddar dina privata nycklar och signeringsuppgifter samtidigt som den möjliggör enkel integrering med CI/CD-tjänster och automatiserad signering, allt samtidigt som du håller din CI/CD-pipeline välsmord.
Förbättra din pipeline med SSL.com Automated Cloud Code Signing
Med SSL.coms eSigner-baserade automatiska kodsignering kan hela längden av din CI/CD-pipeline säkras. Även med en asynkron arbetsinställning kan ditt team av ingenjörer ha försäkran om att mjukvarubitarna som de delar med varandra är autentisk och fri från obehöriga ändringar.
Det bästa med vår kodsigneringstjänst är att vi tillhandahåller automatiserad autentisering med snabbhet och skalbarhet. Du behöver inte längre lida av en manuellt baserad inloggningsauktorisering eller kodsigneringsoperation som stagnerar din mjukvarubyggnad. Inga fler bekymmer om delade privata nycklar som riskerar att äventyras. Du behöver inte längre oroa dig för extern hårdvara som USB-tokens för kodsigneringscertifikat för utökad validering. Inga fler förseningar i produktionen. Du kommer att ha en tilltäppt pipeline som levererar enligt schemat.
eSigner: Kodsignering som en tjänst
eSigner Automation Platforms
eSigner-verktygslådan har två signeringsplattformar som erbjuder lösningar för automatisering av kodsignering.
CodeSignTool: CodeSign Tool är ett kommandoradsverktyg för EV-kodsignering certifikat som kan användas på olika plattformar, inklusive Windows, macOS och Linux. Det är särskilt användbart för att signera känsliga filer eftersom endast filernas hash skickas till SSL.com för signering istället för själva koden. CodeSignTool är också perfekt för att skapa automatiserad processer, såsom signering av flera filer i batcher eller arbetsflöden för kontinuerlig integration/kontinuerlig leverans (CI/CD). För mer information om stödda kommandon, alternativ och parametrar för CodeSignTool, se vår artikel, eSigner CodeSignTool kommandoguide. Och för en guide om hur man använder CodeSignTool för att signera objekt utan att bli tillfrågad om manuell OTP-inmatning för varje fil, läs vår guideartikel, Automatisera eSigner EV-kodsignering.
API: Genom eSigner CSC API kan SSL.coms företagskunder få tillgång till detsamma Cloud Signing Consortium (CSC) och API för kodsignering som driver CodeSignTool för utveckling av sina egna front-end kodsigneringsappar. För att veta hur man använder vårt API, läs vår artikel, eSigner API och eSigner Express för Cloud-dokument och EV-kodsignering.
Säkra dina filer
Vår automatiserade kodsignering är baserad på ett API som är en RESTful-tjänst. Om ett företag vill ha tusentals programvaror signerade på ett automatiserat sätt kan du skriva ett skript som kan anropa vårt kodsignerings-API. Detta kräver att bara filens hash skickas över tråden för att säkerställa att hela filen inte lämnar dina nätverkslokaler. SSL.coms eSigner stöder både Extended Validation (EV) och Organization Validation (OV).
Vår eSigner-baserade automatiserade kodsignering säkrar olika arbetsytor för mjukvaruutveckling inklusive flera automationsservrar (Jenkins, Github Actions, Gitlab CI, Circle CI och Travis CI) och programmeringsspråk.
Bygg smidigt
Med en hash-baserad automatiserad kodsignering kan dina CI/CD-arbetsflöden uppnå både hastighet och säkerhet. SSL.coms eSigner gör att du kan signera stora mängder mjukvaruvolymer, vilket leder till snabbare leverans till kunder.
Upplev välskötta värvningar
Automatisk kodsignering med eSigner undviker fel som att privata nycklar inte säkras av dina ingenjörer när de bygger sina automatiseringsskript.
Med SSL.coms eSigner-drivna automatiska kodsignering kan du tilldela signerings- och ledningsroller till specifika anställda. Du kommer att veta vem kodsigneraren var och när signeringen utfördes. När som helst kan du kontrollera eller ändra signeringsprivilegier.
Med eSigner kan säker kodsignering implementeras genom hela din pipeline, från början till slut. Detta skyddar dig från attacker i leveranskedjan som har observerats orsakade av skadlig programvara som injiceras av hackare i de tidigare faserna av en osäker programvarubyggnad.
eSigner CKA (Cloud Key Adapter)
SSL.com:s eSigner CKA är ett Microsoft Crypto Next Generation (CNG) plugin som tillåter Windows-verktyg som certutil.exe och signtool.exe att använda eSigner Cloud Signature Consortium (CSC)-kompatibelt API för kodsigneringsoperationer.
eSiger CKA stöder automatisk EV-kodsignering som lagts till för CI/CD-miljöer. Detta ökar säkerheten för DevOps-pipelinen genom att säkerställa att programvarukomponenterna som delas av ingenjörer autentiseras med ett SSL.com EV Code Signing-certifikat. Hackare förhindras därför att äventyra din mjukvarubyggeprocess eftersom en skadlig fil som de försöker injicera kommer att identifieras som att den inte har signerats med eSigner CKA. Även om dina ingenjörer arbetar på olika scheman och platser kan de vara säkra på att den mjukvara som de delar med varandra på din CI/CD-plattform är legitim.
Läs mer om hur du integrerar eSigner CKA med populära CI/CD-verktyg genom att besöka den här guiden: Hur man integrerar eSigner CKA med CI/CD-verktyg för automatisk kodsignering.
Specifika CI/CD Service Integration Guides
eSigner Cloud Code Signing kan integreras i nästan vilken CI/CD-tjänst som helst. Nedan finns specifika guider för några av de mest populära tjänsterna som använder verktyg som nämns ovan.
- Cloud Code Signing-integration med CircleCI
- Cloud Code Signing-integration med GitHub Actions
- Cloud Code Signing-integration med GitLab CI
- Cloud Code Signing-integration med Travis CI
- Cloud Code Signing-integration med Jenkins CI
- Cloud Code Signing-integration med Azure DevOps
- Cloud Code Signing Integration med BitBucket
För Github-användare som behöver ett bibliotek för att integrera EV Code Signing eSigner med GitHub Actions CI/CD så att de kan använda eSigner-kodsignering i sin automatiska releaseprocess, klicka här länk för att få tillgång till användbara resurser.
Sammanfattning
Automatisk kodsignering med SSL.coms eSigner ger en skyddad och centralt hanterad miljö för att säkra dina programvarukomponenter, privata nycklar, referenser och signeringsposter. Eftersom eSigner sömlöst kan integreras med de bästa CI/CD-tjänsterna, kan mjukvaruingenjörer och chefer fokusera mer på sin primära roll att utveckla program utan att behöva oroa sig för kodkompromiss. eSigners fördelaktiga funktioner kan sammanfattas i följande punkter:
- Ett dynamiskt gränssnitt möjliggör integration med olika CI/CD-tjänster.
- Programvarukomponenter i varje steg i CI/CD-pipelinen kan signeras och säkras.
- Alla kodsigneringsaktiviteter i pipeline kan automatiseras.
- Molnsignering möjliggör en bekväm metod för företagskodsignering
För information om en eSigner-prenumeration och kodsigneringscertifikat, inklusive stora volymer och anpassade lösningar, vänligen kontakta sales@ssl.com eller fyll i formuläret nedan.
