کوڈ پر دستخط کرنے والی سیکیورٹی کو بڑھانے کے لیے 8 حکمت عملی

COMMENTARY

حالیہ خبریں کہ ہیکرز نے ریموٹ ایکسیس سلوشن کمپنی کی خلاف ورزی کی تھی۔ AnyDesk مزید محفوظ سافٹ ویئر سپلائی چین کو یقینی بنانے میں مدد کے لیے کمپنیوں کو کوڈ پر دستخط کرنے کے طریقوں پر طویل، سخت نظر ڈالنے کی ضرورت پر سخت روشنی ڈالی۔  

کوڈ پر دستخط کرنے سے سافٹ ویئر، فرم ویئر، یا ایپلیکیشنز میں ڈیجیٹل دستخط شامل ہوتے ہیں جو اس بات کی یقین دہانی کراتے ہیں کہ صارف کوڈ ایک قابل اعتماد ذریعہ سے آرہا ہے اور اس کے ساتھ چھیڑ چھاڑ نہیں کی گئی ہے جب سے اس پر آخری دستخط ہوئے تھے۔ لیکن کوڈ پر دستخط کرنا اتنا ہی اچھا ہے جتنا اس پر عمل درآمد، اور ناکافی عمل میلویئر انجیکشن، کوڈ اور سافٹ ویئر کے ساتھ چھیڑ چھاڑ، اور نقالی حملوں کا باعث بن سکتا ہے۔ 

پرائیویٹ کیز کو محفوظ کرنا ہوتا ہے، لیکن بہت سے ڈویلپرز (بنیادی طور پر سہولت کی وجوہات کی بناء پر) خود کو برقرار رکھتے ہیں اور انہیں اپنی مقامی مشینوں میں اسٹور کرتے ہیں یا سرور بناتے ہیں۔ یہ انہیں چوری اور غلط استعمال کے لیے کھلا چھوڑ دیتا ہے، اور سیکیورٹی ٹیموں کے لیے اندھا دھبہ بناتا ہے۔  

کے بعد سولر ونڈز ہیک 2020 میں، سرٹیفکیٹ اتھارٹی/براؤزر (CA/B) فورم نے ایک نیا سیٹ جاری کیا بنیادی ضروریات کوڈ پر دستخط کرنے والے سرٹیفکیٹس کو برقرار رکھنے کے لیے جو ہارڈویئر سیکیورٹی ماڈیولز (HSMs) کے استعمال کو لازمی قرار دیتے ہیں، ایسے آلات جو کرپٹوگرافک کیز کو برقرار اور محفوظ رکھتے ہیں، نیز نجی کلیدوں کی حفاظت کے لیے دیگر اقدامات۔ 

HSMs اعلی ترین سطح کی سیکورٹی فراہم کرتے ہیں، لیکن وہ لاگت، پیچیدگی اور دیکھ بھال کے مطالبات میں بھی اضافہ کرتے ہیں۔ جب تک کہ وہ ڈی او اوپس ٹیم کے ذریعہ استعمال کردہ کوڈ پر دستخط کرنے والے ٹولز میں ضم نہ ہو جائیں، منقطع ہونے سے کوڈ پر دستخط کرنے کی رسائی پیچیدہ ہو سکتی ہے اور عمل سست ہو سکتا ہے۔  

کلاؤڈ پر منتقلی نے سیکیورٹی کو اعلی ترجیح بنا دیا ہے، لیکن کلاؤڈ کوڈ پر دستخط کرنے کا حل بھی پیش کرتا ہے۔ کلاؤڈ کوڈ پر دستخط اور HSMs وہ رفتار اور چستی فراہم کر سکتے ہیں جو ڈویلپرز چاہتے ہیں، نیز مرکزی کنٹرول جو تقسیم شدہ ترقیاتی ٹیموں کو سپورٹ کرتا ہے، ترقیاتی عمل میں ضم ہوتا ہے، اور سیکیورٹی کے ذریعے زیادہ آسانی سے نگرانی کی جا سکتی ہے۔ 

انٹیگریٹڈ کوڈ پر دستخط کرنے کا سفر 

سے حالیہ تبدیلیوں کے ساتھ CA / B فورم، اب وقت آگیا ہے کہ تنظیمیں ترقیاتی ٹیموں کو سپورٹ کرنے کے لیے سنٹرلائزڈ کنٹرول کے ساتھ اپنے کوڈ پر دستخط کو جدید بنانے کا سفر شروع کریں۔ بہت سی کمپنیاں "ایڈہاک" مرحلے میں رہتی ہیں، جہاں کلیدوں کو مقامی طور پر برقرار رکھا جاتا ہے اور ڈویلپرز کوڈ پر دستخط کرنے کے متعدد طریقہ کار اور ٹولز استعمال کرتے ہیں۔ دوسروں کے پاس چابیاں محفوظ کرنے کے لیے HSMs کا استعمال کرکے سیکیورٹی ٹیموں کو مرئیت اور حکمرانی دینے کے لیے مرکزی کنٹرول حاصل ہے، لیکن کوڈ پر دستخط کرنے والے الگ الگ ٹولز کا استعمال اب بھی سافٹ ویئر کی ترقی کی رفتار کو متاثر کرتا ہے۔ 

مثالی، پختہ ڈھانچے کے لیے کلیدی سیکیورٹی، کوڈ پر دستخط کرنے والے ٹولز، اور ترقیاتی ورک فلو کے انضمام کی ضرورت ہوتی ہے تاکہ عمل کو تمام تعمیرات، کنٹینرز، آرٹفیکٹس، اور ایگزیکیوٹیبلز میں ہموار اور ہموار بنایا جا سکے۔ سیکورٹی ٹیمیں HSMs کا نظم کرتی ہیں اور کوڈ پر دستخط کرنے میں مکمل مرئیت حاصل کرتی ہیں، جبکہ ڈویلپرز کے پاس اب ایک چست اور تیز رفتار ترقیاتی پائپ لائن ہے۔ 

چند بہترین طرز عمل اس سفر میں راہ ہموار کرنے میں مدد کر سکتے ہیں: 

مسلسل انضمام اور مسلسل تعیناتی کی دنیا میں، مضبوط کوڈ پر دستخط کرنے کے بہترین طریقے ترقیاتی عمل میں اعتماد پیدا کرنے اور ایک زیادہ محفوظ سافٹ ویئر سپلائی چین کو فعال کرنے کا ایک انمول طریقہ فراہم کرتے ہیں۔

• SEO سے چلنے والا مواد اور PR کی تقسیم۔ آج ہی بڑھا دیں۔
• پلیٹو ڈیٹا ڈاٹ نیٹ ورک ورٹیکل جنریٹو اے آئی۔ اپنے آپ کو بااختیار بنائیں۔ یہاں تک رسائی حاصل کریں۔
• پلیٹوآئ اسٹریم۔ ویب 3 انٹیلی جنس۔ علم میں اضافہ۔ یہاں تک رسائی حاصل کریں۔
• پلیٹو ای ایس جی۔ کاربن، کلین ٹیک، توانائی ، ماحولیات، شمسی، ویسٹ مینجمنٹ یہاں تک رسائی حاصل کریں۔
• پلیٹو ہیلتھ۔ بائیوٹیک اینڈ کلینیکل ٹرائلز انٹیلی جنس۔ یہاں تک رسائی حاصل کریں۔
• ماخذ: https://www.darkreading.com/cybersecurity-operations/8-strategies-enhancing-code-signing-security