Code-Signing vs. SSL/TLS-Zertifikate: Unterschiede und wann Sie beides benötigen

Code-Signing und SSL/TLS-Zertifikate gehören zu den am häufigsten verwendeten Mechanismen in der Public-Key-Infrastruktur (PKI). Code-Signing-Zertifikate sichern Software, während SSL/TLS-Zertifikate die Kommunikation verschlüsseln. Beide spielen eine grundlegende Rolle bei der Schaffung von Vertrauen und der Stärkung moderner Cybersicherheitspraktiken.

Beide entsprechen dem von der Internationalen Fernmeldeunion festgelegten X.509-Standard, der definiert, wie öffentliche Schlüssel verteilt und Identitäten verifiziert werden. Obwohl Code-Signing und SSL/TLS-Zertifikate unterschiedliche Funktionen erfüllen, ist es für heutige Unternehmen oft keine Entweder-oder-Entscheidung. Viele Unternehmen benötigen beide, um unterschiedliche Risikoebenen abzudecken. Das Verständnis ihrer Unterschiede hilft Unternehmen dabei, die richtigen Zertifikate aus den richtigen Gründen einzusetzen.

Was ist der Unterschied zwischen einem Code-Signing-Zertifikat und einem SSL-Zertifikat?

Code-Signing-Zertifikate bestätigen, dass Software von bekannten Anbietern stammt, und stellen gleichzeitig sicher, dass die Software nicht verändert wurde. SSL/TLS-Zertifikate bieten Verschlüsselung und Authentifizierung, um den Datenaustausch zwischen Browsern und Servern zu schützen.

Die Codesignierung schützt die Integrität von Software und Anwendungen, während SSL/TLS Informationen während der Übertragung schützt.

Was ist ein Code-Signing-Zertifikat?

Bei der Codesignierung werden Identitäten durch die digitale Signatur von ausführbaren Dateien und Skripten überprüft. Dieser Vorgang erfolgt mithilfe von Codesignaturzertifikaten. Codesignaturzertifikate werden von Zertifizierungsstellen (CAs) ausgestellt und sind Berechtigungsnachweise, die verifizierte Identitäten mit kryptografischen Schlüsseln verknüpfen. Auf diese Weise können Softwareentwickler und -anbieter Software und ausführbare Dateien signieren, um zu bestätigen, dass diese seit ihrer Veröffentlichung nicht verändert wurden.

Während des Signiervorgangs wird der Code mithilfe einer Hash-Funktion in einen digitalen Fingerabdruck umgewandelt, mit dem privaten Schlüssel des Herausgebers verschlüsselt und optional mit einem Zeitstempel versehen, um die Gültigkeit der Signatur auch nach Ablauf des Zertifikats zu gewährleisten. Ordnungsgemäß signierte Software reduziert Warnungen vor „unbekannten Herausgebern“ und kann im Laufe der Zeit dazu beitragen, eine positive SmartScreen-Reputation aufzubauen.

Zu den Vorteilen von Code-Signing-Zertifikaten zählen verifizierte Herausgeberidentitäten, ein geringeres Risiko unbefugter Code-Änderungen und Angriffe auf die Lieferkette sowie weniger Sicherheitswarnungen, was die Installationsraten verbessern kann. Im weiteren Sinne unterstützt Code-Signing den Markenschutz, indem es signalisiert, dass die Software authentisch und frei von Manipulationen ist. Durch Code-Signing stärkt die Kryptografie die Software-Integrität und die allgemeine Sicherheit.

Arten von Code-Signing-Zertifikaten

Zertifikate für die Codesignierung sind in zwei Hauptformaten erhältlich:

• Organisationsvalidierung (OV)
• Extended Validation (EV)

OV-Code-Signing-Zertifikate bieten eine schnellere Ausstellung und eine Basisvalidierung, während EV-Code-Signing-Zertifikate das höchste Sicherheitsniveau bieten.

Was ist ein SSL/TLS-Zertifikat?

Das ältere kryptografische Protokoll „Secure Sockets Layer“ (SSL) war ursprünglich dazu gedacht, den Datenaustausch zwischen Browsern und Servern zu sichern. Es wurde inzwischen zugunsten des „Transport Layer Security“-Protokolls (TLS) abgelöst, doch der Begriff SSL wird nach wie vor häufig verwendet, um die Notwendigkeit verschlüsselter und authentifizierter Webverbindungen zu verdeutlichen.

SSL/TLS-Zertifikate sind digitale Zertifikate, die zur Identitätsprüfung und zur Verschlüsselung dienen, damit Daten während der Übertragung nicht abgefangen oder verändert werden können. Bei Websites ermöglichen diese Zertifikate die Nutzung von HTTPS (HyperText Transfer Protocol Secure) und sorgen für die Anzeige von Vorhängeschlössern oder Schloss-Symbolen in der Adressleiste des Browsers.

Kryptografische Handshakes spielen eine entscheidende Rolle beim Aufbau des SSL/TLS-Schutzes. Diese Handshakes bestätigen Identitäten und erstellen gemeinsame Sitzungsschlüssel. Der Handshake-Prozess stellt sicher, dass alle zwischen dem Browser und dem Server ausgetauschten Daten verschlüsselt sind.

Zu den Vorteilen von SSL/TLS-Zertifikaten gehören authentifizierte Kommunikation und Datenvertraulichkeit. Diese bilden die Grundlage für Vertrauen in die digitale Kommunikation und stärken sowohl die Sicherheitslage als auch den allgemeinen Ruf der Marke.

Arten von SSL/TLS-Zertifikaten

SSL-Zertifikate können viele Formen annehmen und werden je nach Validierungsstufe sowie nach der Anzahl der Domains oder Subdomains, die sie sichern sollen, kategorisiert. Beispiele für SSL/TLS-Zertifikate sind:

• Domain-Validierung (DV): DV-SSL-Zertifikate überprüfen, ob der Antragsteller die betreffende Domain kontrolliert, und umfassen einen vereinfachten Überprüfungsprozess, der einen grundlegenden Schutz gewährleistet.
• Organisationsvalidierung (OV): OV-SSL-Zertifikate dienen der Bestätigung der Identität des Antragstellers und bieten durch gezielte Überprüfungen ein höheres Validierungsniveau.
• Erweiterte Validierung (EV): Nachdem die DV- und OV-Kriterien erfüllt sind, erweitern EV-SSL-Zertifikate den Validierungsprozess durch Hintergrundüberprüfungen und rechtliche Unterlagen. Sie bieten das höchste Sicherheitsniveau und sind der Industriestandard für E-Commerce-Websites.
• Einzelne Domain: SSL/TLS-Zertifikate für eine einzelne Domain bieten eine kostengünstige Lösung zur Absicherung einer einzelnen Website und werden bevorzugt, wenn Schutz nur für einen einzigen Hostnamen benötigt wird.
• Multi-Domain: Auch als SAN-Zertifikate bekannt, können diese mehrere Domains und Subdomains sichern, einschließlich völlig unabhängiger Domains.
• Wildcard: Wildcard-Zertifikate wurden entwickelt, um eine primäre Domain sowie eine unbegrenzte Anzahl von Subdomains zu sichern, und bieten flexiblen und kostengünstigen Schutz.

Ein ausführlicher Vergleich von Code-Signing- und SSL/TLS-Zertifikaten

Hauptzweck und Sicherheitsanwendung

Bei der Codesignierung werden digitale Signaturen verwendet, um die Integrität der Software zu gewährleisten, während SSL/TLS Daten während der Übertragung verschlüsselt. Beide basieren auf der Public-Key-Kryptografie, erfüllen jedoch unterschiedliche Funktionen: Die Codesignierung schafft Vertrauen in die Software, während SSL/TLS Vertrauen in die Verbindungen schafft.

Gezielte Bedrohungen und Abwehrmaßnahmen

Sowohl die Codesignierung als auch SSL/TLS-Zertifikate erfüllen wichtige Sicherheitsfunktionen: Gemeinsam schaffen sie durchgängiges Vertrauen, das sich auf den gesamten Software-Lebenszyklus auswirkt. Ihre Unterschiede liegen im Wesentlichen darin, wo der Schutz gewährt wird:

• Manipulation und Warnungen vor unbekannten Herausgebern: Die Codesignierung bestätigt, dass der empfangene Code mit dem ursprünglich erstellten Code übereinstimmt, und stellt so sicher, dass signierte Software nicht verändert wurde, bevor sie die Endnutzer erreicht. Dies verhindert Warnungen vor unbekannten Herausgebern, da jede Dateiänderung die digitale Signatur brechen und die verifizierte Identität des Herausgebers ungültig machen würde.
• Angriffe auf die Lieferkette: Wenn Angreifer in Entwicklungsumgebungen eindringen, können sie vertrauensbasierte Beziehungen ausnutzen. Sie können bösartigen Code einschleusen oder Update-Pakete so verändern, dass dies legitim erscheint. Die Codesignierung trägt zur Minderung dieses Risikos bei, indem sie Software kryptografisch mit verifizierten Herausgeberidentitäten verknüpft und private Schlüssel mit FIPS-konformer Hardware schützt, um das Risiko einer unbefugten Signierung und Veröffentlichung von manipuliertem Code zu verringern.
• Datenabfang: Durch die Förderung einer durchgängigen Datensicherheit mittels verschlüsselter Verbindungen verhindern SSL/TLS-Zertifikate, dass Unbefugte Daten während der Übertragung einsehen oder verändern können.
• „Nicht sicher“-Warnungen im Browser: Heutige Browser warnen Nutzer, wenn einer Website ein gültiges SSL-Zertifikat fehlt. Dies untergräbt das Vertrauen der Nutzer und kann Suchmaschinen-Rankings beeinträchtigen, während es gleichzeitig erhebliche Sicherheitsrisiken widerspiegelt: Verbindungen ohne SSL sind anfällig für Identitätsbetrug und Session-Hijacking.

Zu den zerstörerischen Angriffen im Zusammenhang mit kompromittiertem Code zählen der NotPetya-Angriff von 2017 (bei dem ein bösartiges Update über eine ukrainische Buchhaltungssoftware verbreitet wurde) und der SolarWinds-Orion-Angriff (bei dem eine Kompromittierung der Lieferkette zu einer weitreichenden Infiltration führte).

Viele Angriffe stehen im Zusammenhang mit SSL/TLS-Problemen; beim Datenleck bei Equifax im Jahr 2017 handelte es sich beispielsweise um ein abgelaufenes SSL/TLS-Zertifikat, das ein wichtiges Überwachungssystem außer Kraft setzte und es den Angreifern ermöglichte, unentdeckt zu bleiben.

Wann benötigt man beides?

Unternehmen, die Software entwickeln, benötigen möglicherweise sowohl Code-Signierung als auch SSL/TLS-Zertifikate, insbesondere wenn die Software über Websites oder Kundenportale vertrieben wird. Ohne Code-Signierung fehlt es Unternehmen an kryptografischer Sicherheit hinsichtlich der Softwareintegrität und der Identität des Herausgebers. Doch selbst bei ordnungsgemäßer Signierung bleibt die Softwareverteilung ohne SSL/TLS-Zertifikate anfällig. Lizenzdaten oder Kundeninformationen könnten potenziell kompromittiert werden, wenn sie unverschlüsselt über Netzwerke übertragen werden.

Gemeinsam unterstützen Codesignierung und SSL/TLS-Zertifikate Zero-Trust-Modelle, die implizites Vertrauen beseitigen und eine Verifizierung von Software, Netzwerken und Identitäten vorschreiben. Durch die Codesignierung vermeiden Unternehmen, Software standardmäßig zu vertrauen, während SSL/TLS implizites Vertrauen in Verbindungen oder Kommunikationswege verhindert.

SSL- und Code-Signing-Zertifikate in großem Maßstab sichern und verwalten

Unternehmen verlassen sich auf Code-Signing-Zertifikate, um die Integrität ihrer Software zu schützen, und auf SSL/TLS-Zertifikate, um die Kommunikation und Daten während der Übertragung zu sichern. Als führende Zertifizierungsstelle (CA) bietet Sectigo ein umfassendes Angebot an Code-Signing- und SSL/TLS-Zertifikaten, um Unternehmen bei beiden Anwendungsfällen zu unterstützen.

Da das Zertifikatvolumen wächst und die Gültigkeitsdauer immer kürzer wird, wird die Verwaltung dieser beiden Arten digitaler Zertifikate in komplexen oder verteilten Umgebungen zunehmend schwieriger. Ohne zentralisierte Überwachung können abgelaufene oder inkonsistent bereitgestellte Zertifikate Sicherheitslücken verursachen. Die manuelle Nachverfolgung wird schnell unhaltbar, sodass Automatisierung immer wichtiger wird, um Kontinuität und Vertrauen zu gewährleisten.

Sectigo stellt sowohl die Zertifikate als auch die Verwaltungsplattform bereit, die Unternehmen benötigen, um in großem Maßstab zu arbeiten. Der Sectigo Certificate Manager (SCM) zentralisiert und automatisiert das Zertifikatslebenszyklusmanagement (CLM) und optimiert so die Erfassung, Ausstellung und Verlängerung von Zertifikaten.