Sicherheit im Entwicklungsprozess

Code Signing-Prozesse absichern

| Autor / Redakteur: Eddie Glenn / Peter Schmitz

Sicherheits-Teams und Entwickler betrachten Code Signing-Prozesse auf völlig unterschiedliche Weise. Die einen wollen möglichst hohe Sicherheit, die anderen möglichst keine Behinderung durch die Prozesse.
Sicherheits-Teams und Entwickler betrachten Code Signing-Prozesse auf völlig unterschiedliche Weise. Die einen wollen möglichst hohe Sicherheit, die anderen möglichst keine Behinderung durch die Prozesse. (Bild: gemeinfrei / Pixabay)

Heutzutage ist fast jedes Unternehmen von Software abhängig. Entweder produzieren Unternehmen die Software als Hauptprodukt oder Add-on-Produkt, oder sie verwenden sie für kritische interne digitale Infrastrukturen. Die von ihnen produzierte oder verwendete Software ist gemeinsam mit ihrer Marke und ihrem Ruf allgegenwärtig. Daher ist der Schutz der Software genauso wichtig wie das Verriegeln der Haustür.

Software ist überall zu finden: in Computern (Firmware, Treiber, Betriebssysteme, Anwendungen), mobilen Geräten, industriellen Steuerungen, Transportsystemen und anderen kritischen digitalen Infrastrukturen. Benutzer müssen darauf vertrauen können, dass die von ihnen installierte und verwendete Software authentisch und damit vertrauenswürdig ist und nicht von Dritten verändert wurde.

Code Signing ist eine Verschlüsselungstechnik, die seit über 30 Jahren von Unternehmen eingesetzt wird, um eine Software digital zu „signieren“. Das Verfahren soll aufzeigen, dass sie aus dem Unternehmen stammt (authentisch ist) und nicht von einem Dritten verändert wurde. Die Unterstützung dafür ist in vielen modernen Betriebssystemen integriert und Benutzer werden gewarnt oder daran gehindert, die Software zu installieren, wenn sie nicht digital signiert wurde. Es kann auch vorkommen, dass diese Software nach der ursprünglichen Signierung von einer unseriösen Quelle erneut signiert oder verändert wurde.

Security by Design Principles des OWASP

Sichere Software in 10 Schritten

Security by Design Principles des OWASP

18.02.19 - Sicherheit wird in der Software-Entwicklung wird vermehrt mit Security by Design in Verbindung gebracht. Das Open Web Application Security Project, kurz OWASP, hat hierzu zehn wichtige Grundsätze erfasst. lesen

Code Signing als Cyber-Waffe

Cyber-Kriminelle benötigen oft unwissende Opfer, die ihre Malware installieren, um wichtige Informationen wie Anmeldedaten stehlen zu können. Da unsignierte oder unseriöse Software oft von einem Betriebssystem blockiert wird, stehlen die Angreifer legitime Code Signing-Anmeldeinformationen von legitimen Unternehmen. Sie versuchen dann die Mitarbeiter davon zu überzeugen, dass die Software, die nun eigentlich eine Schadsoftware ist, vertrauenswürdig ist. Tatsächlich wurden über 25 Millionen bösartige Binärdateien mit Code Signing-Zertifikaten im Internet verbreitet. So haben Sicherheitsforscher bereits bösartige Akteure entdeckt, die Malware in Antivirenprogrammen versteckten, indem sie Uploads mit gültigen Code Signatur-Anmeldeinformationen ausstatteten.

Code Signing-Zugangsdaten sind daher ein wertvolles Gut für Cyber-Kriminelle. Ein Beispiel: Das eigene Unternehmen ist eine Bank und verteilt eine Mobile Banking App an die Kunden. Die Kunden können dieser App vertrauen und sie nutzen, da sie mit den Zugangsdaten digital signiert wurde. Wenn Internet-Verbrecher diese Code Signing-Zugangsdaten gestohlen haben, dann können sie die Malware im Namen des Unternehmens verbreiten. Benutzer würden darauf vertrauen, dass die App weiterhin von der Bank stammt und installieren sie. Die schlimmste Folge für das Unternehmen? Die Kunden würden die Bank für den Betrug verantwortlich machen, wegen zu lascher Sicherheitsvorkehrungen.

Umsetzung eines SSDL nach BSI-Empfehlung

Secure Software Development Lifecycle, Teil 1

Umsetzung eines SSDL nach BSI-Empfehlung

05.12.18 - Ein Secure Software Development Lifecycle, kurz SSDL, setzt einen kompletten Sicherheitsprozess über die eigentliche Software-Entwicklung und sollte in keinem Unternehmen fehlen. Einerseits, um teure Behebung von Sicherheitslücken zu verhindern, andererseits weil es von vielen Auftraggebern schlicht erwartet wird. lesen

Gefahr erkannt, doch nicht gebannt

In einer Venafi-Studie gaben Sicherheitsexperten an, dass sie zwar die Risiken der Code-Signatur verstehen, aber keine geeigneten Maßnahmen ergreifen, um ihr Unternehmen vor Angriffen zu schützen. Zu den wichtigsten Ergebnissen gehören:

  • 50 Prozent sind besorgt, dass Hacker gefälschte oder gestohlene Code Signing-Zertifikate verwenden, um die Sicherheit ihrer Unternehmen zu verletzen.
  • Weltweit setzen nur 29 Prozent der Unternehmen Sicherheitsrichtlinien für Code Signing konsequent durch. Dieses Problem ist in Europa akut, nur 14 Prozent sind in der Lage, Code Signing durchzusetzen.
  • 35 Prozent haben keinen klaren Eigentümer für die privaten Schlüssel, die in den Code Signing-Prozessen in ihren Unternehmen verwendet werden.
  • Weltweit verlassen sich 43 Prozent der Unternehmen bei der Verwaltung privater Code Signing-Schlüssel auf die IT-Security-Abteilung, nur noch 19 Prozent auf Entwickler, um diese Aufgabe zu erfüllen. Im Gegensatz dazu sind in 38 Prozent der europäischen Unternehmen die Entwickler dafür verantwortlich, während 27 Prozent erwarten, dass die IT-Security-Abteilung ihre private Code Signing-Schlüssel verwaltet.
  • 69 Prozent erwarten, dass der Einsatz von Code Signing im nächsten Jahr zunehmen wird.
Konzeption und Planung eines SSDL nach BSI

Secure Software Development Lifecycle, Teil 2

Konzeption und Planung eines SSDL nach BSI

10.12.18 - Hier stellen wir das Konzept des sicheren Softwareentwicklungs-Lebenszyklus nach BSI in der zweiten Phase, sprich Konzeption und Planung vor. In der ersten Phase, die wir bereits kennengelernt haben, ging es nämlich nur darum, die Rahmenbedingungen festzulegen. lesen

Ein wachsendes Problem

Da sich mehr Unternehmen auf Software verlassen und diese bereitstellen, werden ihre Entwicklungsabteilungen größer und komplexer. Häufig arbeiten sie auf der ganzen Welt verteilt und ihr Schwerpunkt liegt auf der schnelleren Bereitstellung von Software-Produkten (DevOps und Continuous Delivery). Für sie ist die Code Signierung nur ein Teil ihres Freigabeprozesses und sie treffen möglicherweise nicht die notwendigen Vorkehrungen, um die Code Signierungsdaten vor Diebstahl zu schützen.

Unternehmen sollten folgende Vorsichtsmaßnahmen treffen:

  • 1. Sicherstellen, dass die für Informationssicherheit verantwortliche Gruppe stets Einblick in alle Code Signing-Aktivitäten hat und über alle verwendeten Code Signing-Anmeldeinformationen Bescheid weiß.
  • 2. Sichere Speicherung privater Code Signaturschlüssel und Verhinderung, dass sie diesen sicheren Ort verlassen.
  • 3. Definition und Durchsetzung von Code Signing-Richtlinien wie die Trennung von Aufgaben, welche Anmeldeinformationen zur Verfügung stehen, welche Code Signing-Tools verwendet werden können, welche Personen das Code Signing durchführen können und welche Genehmigungen zuerst erforderlich sind.
  • 4. In der Lage sein, die Einhaltung der Code Signing-Richtlinien nachzuweisen, entweder für interne Audits oder externe in regulierten Branchen.

In der Praxis spielt es eine wichtige Rolle, ob der sichere Code Signing-Prozess schwerfällig, manuell und dadurch langsam oder für Entwickler schwierig zu bedienen ist. Um sich Arbeit zu sparen, werden Developer-Teams einfach das, was an Sicherheitsmaßnahmen vorhanden ist, umgehen und so weiterarbeiten, wie sie es gewohnt sind.

Um die Sache zu verkomplizieren, haben große Unternehmen viele verschiedene Entwicklergruppen, die verschiedene Arten von Software mit unterschiedlichen Code Signing-Anforderungen und mit verschiedenen Tools entwickeln. Ein gesicherter Code Signing-Prozess muss diese Unterschiede unterstützen und im gesamten Unternehmen anpassbar sein.

SSDL-Implementierung, Testing und Nachsorge

Secure Software Development Lifecycle, Teil 3

SSDL-Implementierung, Testing und Nachsorge

12.12.18 - Um einen sichere Softwareentwicklungs-Lebenszyklus richtig umzusetzen, bedarf es einiger Planung. Doch damit mit der Implementierung allein ist es noch nicht getan, im Nachgang sind noch weitere Schritte erforderlich. lesen

Fazit

Sicherheits-Teams und Entwickler betrachten Code Signing-Prozesse auf völlig unterschiedliche Weise. Entwickler sind in erster Linie daran interessiert, durch die Methoden und Anforderungen der Sicherheit nicht aufgehalten und behindert zu werden. Diese Trennung schafft oft eine chaotische Situation, die es Angreifern erlaubt, Schlüssel und Zertifikate zu stehlen. Um sich und ihre Kunden zu schützen, müssen Unternehmen genau verstehen, wo Code Signing verwendet wird, und sie müssen kontrollieren wie und wann Code Signing erlaubt ist. Darüber hinaus müssen sie Code Signing mit Development Build-Systemen zusammenbringen. Dieser umfassende Ansatz ist der einzige Weg, Risiken deutlich zu reduzieren und gleichzeitig die Geschwindigkeit und Innovation zu bieten, die Entwickler und Unternehmen heute benötigen. Eine Lösung sollte darin bestehen, den Code Signing-Prozess zu automatisieren. Solche Werkzeuge ermöglichen es Entwicklern, sich auf ihre Kernaufgaben zu konzentrieren und lassen die Sicherheitsleute ruhig schlafen.

Über den Autor: Eddie Glenn ist Senior Threat Intelligence Manager bei Venafi.

BlackBerry schützt vor Quantencomputern

Quantum Resistant Code Signing Server

BlackBerry schützt vor Quantencomputern

24.10.18 - BlackBerry erweitert seine Kryptographie-Tools um den Quantum Resistant Code Signing Server. Die neue Lösung soll in der Lage sein, Software digital so zu signieren, dass diese selbst mit einem Quantencomputer nur schwer zu knacken ist. lesen

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 46066296 / Softwareentwicklung)