Microsoft Lança Versão Prévia do Serviço Signing Transparency com Foco em Segurança
A Microsoft anunciou a versão preliminar do Signing Transparency, um serviço gerido que adota o princípio Zero Trust — “nunca confie, verifique sempre” — no contexto da assinatura de código. A iniciativa visa solucionar uma vulnerabilidade conhecida: assinaturas válidas têm sido frequentemente utilizadas para distribuir software malicioso, especialmente quando atacantes obtêm certificados, comprometem a cadeia de construção ou abusam de identidades de confiança.
A solução proposta envolve a adição de provas públicas e verificáveis a cada assinatura, permitindo que qualquer parte audite o que foi assinado, quando e sob quais políticas. A assinatura tradicional, que durante anos foi sinônimo de confiança, não oferece um rastro auditável além do próprio certificado, e não impede que uma chave roubada seja utilizada sem o conhecimento do usuário. Neste cenário, a transparência se torna um elemento crucial.
O Signing Transparency é descrito como um “notário neutro” para assinaturas de software. Cada vez que um artefato — como uma versão de aplicativo ou firmware — é assinado, o serviço verifica a assinatura com uma política declarada, contrassina e registra o evento em um livro maior de apenas anexação. Em retorno, emite um recibo criptográfico que prova a existência da assinatura no registro, e essa prova pode ser validada de forma independente, sem depender do fornecedor.
A implementação se baseia em sobres COSE e no framework SCITT de transparência para a cadeia de suprimentos. O fluxo é direto e garante que cada entrada no registro é imutável, dificultando tentativas de manipulação.
Os benefícios concretos incluem rastreabilidade comprovável, políticas visíveis e exigíveis, e a detecção precoce de anomalias. Além disso, a transparência se estende ao firmware e componentes de hardware, visando uma cadeia de suprimentos com integridade verificável do início ao fim.
Embora o Signing Transparency não substitua boas práticas de segurança, como um ciclo de desenvolvimento de software seguro, ele aumenta o custo da atividade maliciosa e reduz o tempo de detecção de ações não autorizadas, transformando cada release em um fato verificável.
As organizações são aconselhadas a mapear artefatos, definir políticas de assinatura e integrar o controle de recibos nos seus sistemas de entrega. O lançamento do Signing Transparency representa um avanço significativo na responsabilização e segurança da cadeia de suprimentos de software.
