Hay varias herramientas de seguridad que permiten a un administrador exigir que solo las aplicaciones firmadas se ejecuten en un sistema operativo Windows. ¿Es esta una regla de aplicación general realista en un servidor de producción, sabiendo que la señalización de la aplicación depende del desarrollador de la aplicación y no es un requisito del sistema operativo?
No, no es seguro. Firmar una solicitud solo proporciona trazabilidad e inmodificabilidad: la aplicación creada se puede rastrear hasta la persona que la firmó, y la aplicación no se puede modificar sin invalidar la firma. Cualquiera que tenga el dinero y la posibilidad de pasar por el proceso de obtención de un certificado de firma de código obtendrá uno. Y una vez que lo obtienen, pueden firmar cualquier cosa con él, incluidos virus y software malicioso.
Es por eso que Windows todavía le advierte cuando intenta instalar software firmado, pero muestra el nombre de la Compañía y el nombre del sujeto en el cuadro de diálogo donde tiene que aceptar la instalación.
Para obtener seguridad, también debe agregar un paso llamado "Autorización". Esto significa que debe analizar quiénes son los "desarrolladores aprobados".
La combinación de firma de código con autorización, puede ser un paso eficaz contra el software malicioso en lugar de confiar en una lista blanca. En lugar de solo decir, por ejemplo, "Microsoft office está bien para ser instalado", puede dejar que, por ejemplo, los usuarios finales, sin derechos de administrador, instale todo lo que esté firmado con "Microsoft", y aún tenga seguridad contra software malicioso.
Mantener una lista de desarrolladores de software aprobados es mucho más fácil que mantener una lista de software aprobado, porque incluso puede permitir a los usuarios actualizar el software sin necesidad de derechos elevados.
Sin embargo, en la práctica, no es una buena solución, porque la mayoría de los usuarios necesitan ejecutar softwares pequeños de vez en cuando. Puede ser algo simple, como un software requerido para ver una página web relacionada con el trabajo que está haciendo la persona, o la persona está intentando acceder a la cuenta bancaria de la Compañía por primera vez y el banco necesita instalar alguna "aplicación de autenticación de seguridad" .
Por lo tanto, independientemente de si se trata de nombres de software de listas blancas, o de nombres de desarrolladores de listas blancas para software firmado, tales implementaciones solo son adecuadas en entornos de alta seguridad donde también es práctico decir que las computadoras son estrictamente para un solo propósito. En estos casos, también es común instalar lanzadores muy restrictivos, como "lanzadores de quiosco" para evitar que las computadoras se utilicen para cualquier otra cosa que no sea para la que están destinados.
Para hacer una comparación analógica:
La firma de código es como las tarjetas de identificación. Exigir a cada visitante de un edificio que muestre su tarjeta de identificación no se agrega a la seguridad, ya que los individuos no autorizados aún podrían ingresar al edificio con su propia tarjeta de identificación.
Para agregar seguridad, también debe introducir un paso de "autorización", en el que verifique si el nombre de la tarjeta de identificación coincide con una lista de acceso o una lista de invitados de la persona autorizada para ingresar al edificio. Esto mantiene a los individuos no autorizados fuera del edificio.
Lea otras preguntas en las etiquetas digital-signature appsec windows code-signing