Venafi beveiligt code signing tegen misbruik

25 juli 2019

Venafi introduceert een security-oplossing voor code signing van software, om machine-identiteiten beter te beschermen tegen malware. Deze ‘Next-Gen Code Signing’ biedt organisaties een centrale opslag voor alle private keys en automatiseringsfuncties die ontwikkelteams ontlasten bij het toepassen van code signing policies. Code signing wordt al decennia gebruikt om de authenticiteit van software-updates te beveiligen en te garanderen. Toch worstelen nog veel bedrijven met het beschermen en beveiligen van hun code signing processen, omdat ze geen oplossing hebben om het securitybeleid voor alle locaties, tools en processen af te dwingen zonder de ontwikkelteams te vertragen. Uit recent onderzoek blijkt dat maar 28% van de ondervraagde organisaties een procedure heeft voor het consistent beveiligen van code signing-certificaten.    

Automatiseren   

Venafi’s Next-Gen Code Signing oplossing centraliseert en automatiseert het beheer van alle private keys voor code signing en beveiligt de bijbehorende processen. Daardoor verlaten deze sleutels nooit Venafi’s beveiligde opslagomgeving, of daarmee verbonden hardware security modules (HSM’s). Tevens biedt de nieuwe oplossing securityteams diepgaand inzicht en intelligentie over alle aspecten van het code signing gebruik. Onder andere wie code heeft ondertekend en met welk certificaat, maar ook wie het verzoek heeft goedgekeurd en wanneer elke handeling heeft plaatsgevonden. Op basis daarvan levert Next-Gen Code Signing ook nog compliancy- en auditrapportages over alle activiteiten.

Belangrijkste voordelen  

Venafi’s oplossing ‘Next-Gen Code Signing’ biedt de volgende voordelen:

  • schaalbaarheid voor gebruik door enkele tot tienduizenden ontwikkelaars op meerdere locaties en miljoenen code signing handelingen per week
  • automatisering en ondersteuning voor een brede reeks ontwikkelprocessen voor software, zonder dat de tools daarvoor hoeven te veranderen
  • gecentraliseerde goed beveiligde opslaglocatie voor het beschermen van alle private keys
  • flexibel aanpasbare policyhandhaving voor meerdere softwareprojecten, waaronder de goedkeuring van workflows, certificaattypes, certificaatautoriteiten, HSM’s en ontwikkeltools 
  • securityteams kunnen ontwikkelaars een transparante service aanbieden voor het ondertekenen van softwarecode conform het policybeleid
 

Beter beschermen

“Elke organisatie is tegenwoordig een software-ontwikkelaar die apps, bibliotheken, containers en andere tools maakt”, zegt Kevin Bocek, vice president security strategy & threat intelligence bij Venafi. “De bijbehorende code signing operaties zijn echter moeilijk schaalbaar en gebrekkig beveiligd. Security- procedures voor code signing worden vaak als omslachtig ervaren en genegeerd. Als gevolg daarvan ontstaan er blinde vlekken voor de securityteams en interessante kwetsbaarheden voor cybercriminelen. Gestolen code signing sleutels zijn namelijk gevaarlijke cyberwapens voor de betreffende organisatie en haar klanten. Variërend van Stuxnet tot alle dagelijkse malware en phishing-acties, aanvallen die code signing misbruiken kunnen zelfs de nieuwe generatie antivirus en malwaredetectie omzeilen. Next-Gen Code Signing biedt software-ontwikkelaars de mogelijkheid dezelfde code signing tools te gebruiken zonder dat er veranderingen in hun ontwikkelomgeving nodig zijn. Het voegt een onzichtbare technologielaag toe die code signing sleutels beveiligt en ontoegankelijk maakt voor aanvallers. Venafi Next-Gen Code Signing stelt securityteams en ontwikkelaars in staat om zowel snel als veilig te werken.”
 
Robbert Hoeffnagel

Robbert Hoeffnagel

Editor and consultant @ Belgium Cloud, DatacenterWorks, InfosecurityMagazine.be, Green IT Amsterdam and Mepax

Pin It on Pinterest

Share This