Säkerhetsföretaget Beyond Identity släpper nu ett verktyg som gör det enkelt att digitalt signera källkod vid DevOps-utveckling.
Verktyget kan därmed göra att utvecklingen av ny programvara inte riskerar att inkludera skadlig kod.
Dagens allt snabbare och utspridda DevOps-processer där flera utvecklare bidrar med mindre stycken av kod till ett större projekt öppnar för sårbarheter. Med verktyget Secure DevOps introduceras ett enkelt och säkert sätt att hindra skadlig kod eller sårbarheter från att redan under utvecklingsarbetet hamna i den färdiga koden. Det har tidigare varit både komplext och tidsödande att spåra ursprunget till eller verifiera varje rad kod som läggs till.
Det som skiljer Secure DevOps från andra lösningar är att det enkelt installeras vid ett tillfälle och sedan automatiskt arbetar i bakgrunden utan att hindra eller fördröja utvecklarnas arbete. Med hjälp av ett API kontrolleras all ny kod tillsammans med utvecklarens identitet och behörighet innan någon kod accepteras och läggs till.
“Att vänta till ett projekt är färdigt innan all kod signeras är förstås enkelt, men egentligen samma sak som att skriva på ett avtal innan man läser det finstilta.”, säger TJ Jermoluk, vd för Beyond Identity. “I vanliga avtal kan det gömma sig oklarheter och reservationer någonstans i texten. Här handlar det om inbyggd skadlig kod som kan ligga dold och undgå upptäck i flera år innan den aktiveras och plötsligt ställer till med stor skada, oavsett hur bra säkerhetssystem de drabbade företagen har.”
Verktyget underlättar och snabbar upp arbetet vid kontinuerlig utveckling och leverans. All ny kod autentiseras och signeras via en GPG-nyckel som är kopplad till utvecklarens företagsidentitet och enhet. Den privata nyckeln lagras säkert på enheten och kan inte flyttas. Beyond Identitys molntjänst ger samtidigt möjlighet för säkerhetsavdelningar att centralt sätta policys för skapande, utfärdande och återkallning av de motsvarande öppna nycklarna.
“För oss som molnföretag är Beyond Identitys säkerhetsmodell självklar,” säger Mario Duarte, VP för säkerhet på Snowflake. ”När vi tittade närmare på den innovativa arkitekturen kunde vi se att den passar perfekt för att signera kod som utvecklats i GitHub.”
