02

ソフトウェアに署名をする権限、署名鍵の使用を管理する権限の保有者を把握しているか?

署名は鍵の使用ポリシーに厳密に従う必要があります。管理が甘く、透明性に欠けていると、組織または法律上の規制をすり抜けて署名できてしまいます。鍵の使用を追跡し監視することで、管理者は権限ベースでの鍵アクセスを設定できるようになり、悪用を検出した場合に介入することができます。

03

自社の署名鍵によって生成されたコードサイニング証明書がどれかを把握しているか?

署名済みのソフトウェアは、組織とエンドユーザー間の信頼に基づく合意を示しています。管理者が署名鍵による証明書の発行者を追跡していなければ、悪意のある者が侵害されたソフトウェアや不正なソフトウェアリリースに署名することを目的として、組織の信用を利用して正当な証明書を生成する可能性があります。

06

物理トークン、USB、HSMアクセスを追跡し保護しているか?

家の鍵や車の鍵と同じです。コードに署名するための物理鍵をなくしたり、共有したり、盗まれたりしてはなりません。鍵は常に追跡し、どこにあるか、いつ使用されたか、誰が使用したかを把握できるようにしておきます。

07

開発者はコードサイニング証明書を共有しているか?

鍵の共有はDevOpsでは珍しいことではありません。多くの主要なレポジトリが実際にユーザーガイドでこの危険な習慣を推奨しているほどです。開発者が鍵を共有すると、誰が署名したのか、いつ署名したのかという視認性や管理性が失われてしまいます。証明書を失効させなければならない場面でも、その鍵を使用して過去に署名されたすべてのソフトウェアが危険だとユーザーにみなされる可能性があります。

10

コードやソフトウェアリリースに署名されているかどうかを確実に追跡しているか?

署名済みのソフトウェアの役目は、それが信頼できる真正なコードおよびソフトウェアであることをパートナーと顧客に伝えることです。コードとDockerコン テナが、適切に管理された鍵と鍵署名ユーザーのアクセスによってビルド中にスキャンされ保護されていれば、納入前にソフトウェアに署名できます。これにより、転送中のソフトウェアが保護され、監査レコードが作成されて、パートナーや顧客にそのソフトウェアの真正性が納入前に検証済みであることが伝わります。この署名プロセスは管理されたコードサイニングサービスと自動化ツールを利用することで大幅に効率化できるため、俊敏なCI/CDパイプラインの中断や遅延を避けることができます。

DevOpsのセキュリティは決して後回しにしてはなりません。適切な質問をすることで、CI/CDパイプラインとサプライチェーン全体の保護を事前に検討できます。

セキュリティギャップを解消し、DevOpsのループの穴を埋めるお手伝いを致します。詳しい方法についてはお問い合わせ下さい。https://test.brandkeeper.jp/contact