Kod imzalama sertifikası, ancak özel anahtarı gizli kaldığı sürece size aittir. Anahtar çalınırsa saldırgan, zararlı yazılımı sizin adınıza imzalayabilir ve itibarınız saniyeler içinde zarar görür. Bu yüzden sektör kuralları artık anahtarın donanımda korunmasını zorunlu kılıyor.
Tehdit modeli
- Geliştirici dizüstüne veya CI sunucusuna bırakılmış PFX dosyası.
- Repository, yedek veya e-posta içinde unutulmuş anahtar.
- Ele geçirilmiş bir CI ajanı veya kötü niyetli bir iş akışı değişikliği.
- Anahtara erişimi olan ama artık ekipte olmayan kişiler.
Koruma katmanları
- Donanım: USB token, akıllı kart veya HSM içinde üretilen anahtar dışarı çıkarılamaz; imza işlemi cihazın içinde yapılır.
- Bulut HSM: Anahtar sağlayıcının HSM'inde kalır; USB token ve kargo gerekmez. Bkz. bulut kod imzalama.
- PIN/parola: Token PIN'ini parola yöneticisinde tutun, betiklere düz metin yazmayın.
- İzolasyon: İmzalamayı tek amaçlı, sıkılaştırılmış bir makinede veya ajanda yapın.
- Erişim: Yetkiyi az kişiyle sınırlayın, kullanımı kaydedin.
Şüphelenirseniz
- İmzalamayı durdurun ve anahtarın bulunduğu ortamı izole edin.
- Sertifika sağlayıcınıza bildirip sertifikayı iptal ettirin.
- Son dönemde imzalanan ikilileri gözden geçirin; beklenmeyen imzalar varsa kullanıcıları bilgilendirin.
- Yeni anahtarla yeni sertifika alın ve hattı yeniden yapılandırın.
Kendinizi test etmek için şu soruları sorun: Anahtarı bir dosya olarak kopyalayabilir miyim? Kopyalayabiliyorsam saldırgan da kopyalayabilir. Şifre yalnızca bir kişide mi? Yedek yönetici var mı?
Donanım korumalı sertifika seçenekleri için kod imzalama sertifikalarına bakın. İmzayı zaman damgasıyla atmak, iptal olsa bile geçmiş imzaların değerlendirilmesinde önemlidir; ancak iptal edilmiş sertifikanın imzalarına nasıl davranılacağı platforma göre değişebilir.
Uygulama listesi
- Mevcut anahtarların hangi makinelerde bulunduğunun envanterini çıkarın.
- Dışa aktarılabilir PFX dosyalarını bulup yenisiyle değiştirin.
- Eski yedekleri ve çalışma kopyalarını güvenli şekilde silin.
- İmzalama kayıtlarını düzenli inceleyin.
Ekip küçük de olsa anahtar güvenliği için yazılı bir prosedür hazırlamak, bir olay anında kimin ne yapacağını netleştirir ve müdahale süresini kısaltır.