Целостность программного обеспечения
Докажите подлинность своего программного обеспечения, прежде чем оно будет запущено на чьем-либо компьютере.
Два способа подписать и защитить ваше программное обеспечение.
Сертификаты подписи кода
Подписывайте свой код с помощью подтвержденной идентификации. IV для физических лиц, OV для организаций, EV для максимального доверия и подтвержденной идентификации издателя.
eSigner for Code: Облачная подпись кода
Подписывайтесь из облака. Аппаратный токен не требуется. Интегрируется с GitHub Actions, Jenkins, Azure DevOps и другими сервисами.
SSLСертификаты для подписи кода и облачный сервис подписи позволяют криптографически подписывать исполняемые файлы, драйверы, скрипты и микропрограммы, чтобы пользователи, платформы и операционные системы могли убедиться в подлинности вашего программного обеспечения и отсутствии внесения в него изменений до его запуска. Каждый уровень сертификата и облачный сервис подписи используют одну и ту же базовую цепочку доверия, поэтому правильный выбор зависит от того, кто должен быть указан в подписи и как вы хотите управлять закрытым ключом, а не от различий в безопасности.
Неподписанный или неправильно подписанный код является одним из основных векторов атак на цепочку поставок программного обеспечения.
Атаки на цепочки поставок программного обеспечения, от SolarWinds до XZ Утилиты ясно показали одно: целостность кода между разработчиком и конечным пользователем не гарантируется без криптографической подписи. Операционные системы, платформы и инструменты безопасности все чаще требуют подписанных бинарных файлов, и этот сдвиг теперь поддерживается как политикой, так и практикой: NIST Инициатива Secure Software Development Framework (SSDF), и требования к цепочке поставок программного обеспечения, принятые после Указа Президента № 14028, предусматривают наличие подписанных подтверждений происхождения программных артефактов, а также создание рамок соответствия, включая: SLSA И SOC 2 основаны на тех же ожиданиях.
Продукты SSL для обеспечения целостности программного обеспечения удовлетворяют двум различным потребностям:
- Сертификаты подписи кода: проверенные сертификаты, которые криптографически связывают вашу личность с подписанным вами кодом на трех уровнях проверки (IV, OV, EV)
- eSigner для кода: облачный сервис для подписи, который устраняет необходимость в аппаратных токенах. EV Подписание кода, обеспечивающее бесшовную интеграцию конвейера CI/CD.
Сравните варианты сертификатов для подписи кода.
Соответствие и стандарты
Аутентикод Майкрософт
Подпись всех исполняемых файлов Windows, доверенные сертификаты OV и EV.
Драйверы режима ядра Windows
Требуется сертификат цифровой подписи кода для электромобилей.
Microsoft SmartScreen
В подсказках SmartScreen в качестве издателя отображается название вашей подтвержденной организации.
Apple Gatekeeper / Нотариальное заверение
Для распространения дистрибутива macOS требуется подписание и нотариальное заверение идентификатора разработчика.
Форум CA/B по подписанию кода BR
Все SSL-сертификаты соответствуют базовым требованиям к цифровой подписи кода (Code Signing Baseline Requirements).
