Шлюз подписи кода Entrust

Подпись кода — это процесс цифрового подписания программного обеспечения или исходного кода с помощью цифровой подписи для подтверждения подлинности и целостности кода. Он гарантирует, что код получен от проверенного издателя или разработчика программного обеспечения и не был изменен или поврежден с момента подписания.

Подпись кода крайне необходима для поддержания доверия и безопасности при распространении программного обеспечения. К ее основным преимуществам относится перечисленное далее.

• Обеспечение целостности кода. Подпись кода подтверждает, что код не был подделан, гарантируя его целостность на протяжении всего процесса распространения.
• Аутентификация издателя. Используются цифровые сертификаты для подтверждения происхождения программного обеспечения и личности его издателя или разработчика.
• Защита от вредоносного кода. Предотвращает несанкционированные изменения и внедрение вредоносного ПО, защищая пользователей от потенциальных угроз.
• Поддержание соблюдения нормативно-правовых требований и доверия. Многие платформы, такие как операционные системы и браузеры, требуют подписанный код для установки или запуска. Это гарантирует соблюдение нормативно-правовых требований и повышает доверие конечных пользователей.

Процесс описан ниже.

• Создание ключей. Разработчик или издатель программного обеспечения создает криптографические ключи — один закрытый и один открытый. Организация отправляет открытый ключ в центр сертификации (CA) и запрашивает сертификат подписи кода.
• Получение сертификата. Центр сертификации проверяет личность разработчика программного обеспечения и подтверждает подлинность его запроса на сертификат с цифровой подписью.
• Цифровая подпись. Используя инструмент для подписи, разработчик применяет свой закрытый ключ подписи кода к программному обеспечению или исходному коду. В результате создается цифровая подпись, которая связывает программное обеспечение с личностью разработчика.
• Распространение. При распространении подписанного кода конечные пользователи или системы могут проверить его подлинность и целостность с помощью открытого ключа, встроенного в цифровой сертификат. Это позволяет убедиться в том, что код не был изменен и не содержит вредоносный код.

Сертификат подписи кода — это тип цифрового сертификата, выдаваемого центром сертификации, который проверяет личность издателя или разработчика программного обеспечения. Он играет решающую роль в процессе подписания кода, подтверждая, что подписанный код получен из доверенного источника, и предотвращая попытки злоумышленников выдать себя за другое лицо.

Сертификаты подписи кода OV и EV — это два типа сертификатов, которые различаются по процессам проверки, функциям безопасности и уровням доверия.

• Сертификат проверки организации (OV). Сертификат OV подтверждает идентификационные данные организации с помощью стандартных проверок и позволяет хранить закрытые ключи в системе разработчика. Подходит для небольших организаций или внутренних приложений, обеспечивая базовый уровень доверия.
• Сертификат расширенной проверки (EV). Сертификат подписи кода EV требует тщательной проверки, включая физические и эксплуатационные проверки, а закрытые ключи хранятся на устройствах, защищенных от несанкционированного доступа, таких как USB-токены. Он обеспечивает более высокий уровень доверия, обходит предупреждения SmartScreen и идеально подходит для широко распространенного или очень популярного и стратегически важного программного обеспечения.

Служба подписи кода упрощает процесс цифровой подписи, предоставляя организациям безопасную инфраструктуру и инструменты для подписи кода. Эта служба особенно полезна для издателей и разработчиков программного обеспечения, которым необходимо защитить свой подписанный код, обеспечив при этом соблюдение нормативно-правовых требований и масштабируемость.

Шлюз подписи кода Entrust — это безопасное масштабируемое решение, предназначенное для упрощения и защиты процесса подписи кода для организаций. Оно помогает издателям и разработчикам программного обеспечения управлять ключами и сертификатами подписи в централизованной и устойчивой к взлому среде.

Ниже перечислены основные функции.

• Централизованное управление ключами. Защищает ключи подписи в надежном аппаратном модуле безопасности (HSM), обеспечивая сохранность криптографических ключей под контролем организации. 
• Оптимизированные операции подписи кода. Автоматизирует процесс подписи с помощью политик и рабочих процессов, обеспечивая последовательность и эффективность разработки программного обеспечения.
• Улучшение безопасности и соблюдения нормативно-правовых требований. Обеспечивает соответствие методов подписи кода стандартам безопасности и нормативно-правовым требованиям, таким как защита от внедрения вредоносного кода. 
• Интеграция с конвейерами DevOps. Поддерживает беспрепятственную интеграцию в современные рабочие процессы разработки программного обеспечения, обеспечивая надежную подпись кода без прерывания операций.

С помощью шлюза подписи кода Entrust организации могут защитить свои ключи подписи, обеспечить целостность подписанного кода и укрепить доверие конечных пользователей, используя аутентифицированное и проверенное программное обеспечение.