Kod imzalama sertifikaları güven sağladığı için saldırganların da hedefidir. Çalınmış veya sahte kimlikle edinilmiş bir sertifikayla imzalanan zararlı yazılım, işletim sistemi uyarılarını aşabilir; bu yüzden risk yalnızca "imzasız dosya" değil, "kötüye kullanılan imza"dır.
Saldırı senaryoları
- Anahtar hırsızlığı: Geliştirici makinesinden veya CI sunucusundan sızdırılan PFX dosyası.
- Yetkisiz imzalama: Anahtar çıkarılmasa bile, ele geçirilen bir imzalama ajanında zararlı dosyanın imzalatılması.
- Sahte kuruluş başvurusu: Doğrulamayı aşarak edinilen sertifikalar; bu yüzden CA'lar kuruluş doğrulamasını sıkılaştırır.
- Tedarik zinciri: Meşru yazılımın derleme hattına zararlı kod eklenmesi ve sonra otomatik imzalanması.
Sektörün savunması
- Anahtarların donanım ortamında (token, HSM) üretilip saklanması zorunlu kılındı.
- CA'lar kötüye kullanım bildirimi alınca sertifikayı iptal eder.
- İşletim sistemleri ve güvenlik ürünleri iptal bilgisini ve itibarı değerlendirir.
Kendi savunmanız
- Anahtarı dışa aktarılamaz donanımda tutun; bulut HSM bu yaklaşımın bir uygulamasıdır.
- İmzalama hattını kaynak kodu incelemesi ve korumalı dallarla sınırlayın.
- Kim neyi ne zaman imzaladığını kayıt altına alın; beklenmeyen imzayı fark edebilmek için düzenli karşılaştırın.
- Olay müdahale planı hazırlayın: durdur, sağlayıcıya bildir, iptal et, yeni anahtarla devam et.
İptal sonrası
Sertifika iptal edilince zaman damgalı eski imzaların durumu işletim sistemine ve iptal nedenine göre değişebilir; bu yüzden etkilenen sürümleri yeniden imzalayıp yayınlamak gerekebilir. Aynı zamanda kullanıcılara duyuru yapın.
Güvenli bir başlangıç için kod imzalama sertifikası seçeneklerini inceleyin. İmza güvenin kanıtıdır; anahtarınızı korumak, o güveni korumaktır.
Kullanıcı tarafı ipuçları
Bir dosyanın imzalı olması zararsız olduğu anlamına gelmez; yayıncı adını, sertifikanın geçerlilik durumunu ve dosyanın indirildiği kaynağı birlikte değerlendirin. Yazılım yayıncıları ise imza atılan ikililerin karmalarını kendi sitelerinde yayınlayarak kullanıcılara doğrulama imkanı sunabilir. Şüpheli bir imza görürseniz yayıncıya ve sertifika sağlayıcısına bildirmek, kötüye kullanımın durdurulmasına yardımcı olur.