据报道，2021 年初，一个勒索软件组织从领先的图形处理单元 (GPU) 制造商 NVIDIA 窃取了代码签名证书。代码签名证书在确保软件的合法性和可靠性方面起着至关重要的作用，它们的失窃会给个人和公司带来重大影响。在本文中，我们将探讨什么是代码签名证书、它们的使用方式、与盗窃相关的风险，以及您可以采取哪些步骤来保护自己。

“NVIDIA 代码签名证书盗窃：敲响了稳健安全措施的警钟。”

NVIDIA 的代码签名证书被盗是一个重大的安全漏洞，凸显了数字证书的脆弱性和保护它们的重要性。NVIDIA 是一家领先的 GPU 制造商，拥有全球客户群，其软件和产品适用于各种应用。由于其代码签名证书被盗，攻击者可能会利用它们来分发看似来自 NVIDIA 的恶意软件，这可能会对个人和组织造成严重后果。这一事件凸显了强有力的安全措施的必要性以及实施最佳实践以防范网络威胁的重要性。

什么是代码签名证书？

代码签名证书是由受信任的第三方证书颁发机构 (CA)颁发的数字证书，用于对软件进行签名。当代码签名证书用于对软件进行签名时，它可以保证软件自签名以来未被篡改或修改并且来自受信任的来源。

代码签名证书通常包括软件发行商的名称、时间戳和唯一的序列号。在安装已使用代码签名证书签名的软件期间，用户的计算机通过根据证书颁发机构的公钥验证证书的数字签名来进行真实性检查。

代码签名证书被盗的风险

代码签名证书被盗可能会造成严重后果。使用窃取的证书，攻击者可以签署他们的恶意软件并使其看起来合法。这可以欺骗用户和安全软件，使攻击者能够获取机密数据或控制受害者的系统。

就 NVIDIA 而言，REvil 勒索软件组织窃取了三个用于为 NVIDIA GPU 的驱动程序签名的代码签名证书。虽然没有证据表明证书已被滥用，但盗窃可能允许攻击者签署和分发看似来自 NVIDIA 的恶意软件。这可能会对依赖 NVIDIA 软件的个人和组织造成严重后果。

如何保护自己免受代码签名证书盗窃

为了防止代码签名证书被盗，您可以采取以下几个步骤：

1. 保持软件最新

   这是保护自己免受攻击的必要步骤。必须确保使用已使用代码签名证书签名并包含最新安全补丁的最新版本的软件。

2. 验证证书真实性

   安装软件时，请务必验证代码签名证书的真实性。这可以通过根据证书颁发机构的公钥检查发布者的名称、时间戳和唯一序列号来完成。如果其中任何一个不匹配，这可能意味着证书已被篡改或无效。

3. 使用多重身份验证

   多因素身份验证通过要求多种身份验证方法为您的帐户添加额外的安全层。这将使攻击者难以访问您的帐户，即使他们窃取了您的代码签名证书。

4. 保护您的私钥

   代码签名证书只有在用于签署软件的私钥保持安全的情况下才有效。确保使用强密码保护您的私钥，并考虑将它们存储在安全的硬件设备中，例如揽阁信息提供的Luna HSM、ProtectServer HSM、SmartCard（智能卡）或 USB Token（令牌）。

5. 监视可疑活动

   定期监控您的系统是否存在可疑活动，例如意外的软件安装或网络流量。这有助于及早识别潜在的攻击，并允许您采取措施减轻损害。

结论

通过主动保护自己免遭代码签名证书被盗，您可以帮助降低风险并确保系统和数据安全。虽然领先于网络威胁可能具有挑战性，但采取这些步骤可以显着降低风险并让您高枕无忧。随着技术的不断进步，了解最新信息并相应地调整您的安全实践至关重要。请记住保持警惕并及时了解最新的安全最佳实践，以保护自己免受不断变化的网络攻击威胁。

欢迎联系揽阁信息，获取更多关于代码签名安全产品和解决方案的信息。

揽阁信息可提供的部分安全产品和解决方案信息

联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：

• 数据库访问控制：揽阁LGPAC系统

• 通用HSM：Luna HSM、ProtectServer HSM

• 支付HSM：payShield 10K

• KMS产品：CipherTrust Manager、Vormetric、KeySecure

• 数据保护：应用层数据加密、数据库加密、令牌化（Tokenization）、透明加密

• 网络传输加密：Thales High Speed Encryption（HSE）

• 身份认证：STA、SAS、USB令牌、智能卡、OTP令牌、手机令牌、虚拟智能卡、FIDO2、读卡器

您还可以得到揽阁信息所提供的优质服务。

揽阁信息 · 值得您信赖的信息安全顾问！

相关阅读

• 简化密钥和证书的审核和修复

• 揭示PKI动态：全球各地区技术趋势和监管见解

• 关于通配符证书您需要了解的所有信息

• EV SSL 证书：优点和缺点

• 较短证书有效期的优点：证书自动化的好处