0

確保程式碼簽章憑證「不負所託」

Created on Apr 28 2016, 6:44 AM by Quentin Liu

賽門鐵克最近的研究報告指出,名為 Suckfly 的中國進階威脅團體,已經鎖定程式碼簽章憑證相關的私有金鑰,在兩年期間散佈惡意軟體。這項發現再次確認,網路攻擊者透過合法檔案及應用程式散佈惡意軟體的趨勢,持續增加。

為什麼網路攻擊者要鎖定程式碼簽章憑證的私有金鑰?問題在於程式碼簽章的兩大目標,以及傳統程式碼簽章實務的監管。

程式碼簽章的關鍵目標在於 a) 驗證內容的完整性,確保並未遭到竄改,以及 b) 建立檔案或應用程式創造者的歸屬及不可否認性。程式碼簽章提升了檔案及應用程式的信任程度,確認內容未經修改,並讓內容與通過第三方驗證的身分建立關連。因此許多軟體公司及產業團體,都必須使用程式碼簽章。

就實務應用觀點而言,部分瀏覽器可保護使用者,在使用者嘗試下載任何未簽章應用程式時顯示警告訊息。至於在其他領域方面,部分安全應用程式可減輕風險,避免使用者下載及/或執行未簽章的檔案和應用程式,盡可能減少執行未知或未授權發佈者的程式碼。因此,我們發現更重視安全,且具有大量內部軟體或應用程式開發的組織,一般會為了發佈及減輕風險採用程式碼簽章。

在使用傳統程式碼簽章的情況下,簽章使用私有金鑰的安全問題,是由發佈組織負責。在這類組織之中,私有金鑰的安全性及管理事宜,一般是委交開發團隊負責,而檔案及應用程式則大多由應用程式或軟體開發人員發佈。如果團體沒有接受安全最佳實務訓練,或者不必為遺失、遭竊或濫用的金鑰負責,則龐大組織就可能面臨風險,導致自己的私有金鑰不慎簽章惡意軟體。

業界已有若干最理想實務,協助組織避免金鑰遭竊或濫用。其中包括:

  • 維護私有金鑰安全
    • HSM 或位於針對特定目的建置的安全環境
  • 追蹤私有金鑰及簽章事件
    • 提供可見度,掌握簽章者、簽章內容及簽章時間
  • 管理發佈者的指派及撤銷事宜
    • 確保只有獲得授權的使用者才可存取私有金鑰
  • 有能力進行稽核
    • 推動程式碼簽章活動的責任及鑑識見解

除了最佳實務以外,部分組織可能偏好更安全的作法,不在現場散佈私有金鑰,而是在集中、安全,且具備強大金鑰管理監管的地點進行作業。身為全球 65% 程式碼簽章憑證的供應者*,賽門鐵克提供次世代替代方案,有效因應缺乏監管的漏洞,以及傳統程式碼簽章實務的其他挑戰,妥善處置私有金鑰遭竊的風險問題。賽門鐵克安全應用程式服務 (Symantec Secure App Service) 是全方位的雲端型程式碼簽章管理解決方案,可集中管理金鑰及追蹤程式碼簽章事件,並提供使用者管理。

網路罪犯將持續尋找各種方式,突破組織的安全措施竊取重要資料。嚴格遵循產業最佳實務,或利用賽門鐵克安全應用程式服務等解決方案,當能有效威嚇此類不法行動,並且重建程式碼簽章的公信力,回歸安全至上的初衷。

* 資料來源:rsEdge 2014 年國際意見調查

  • Products
  • DigiCert SSL TLS Certificates
  • Products and Solutions
  • Symantec Website Security