Microsoft ha anunciado la vista previa de Signing Transparency, una nueva iniciativa orientada a fortalecer la seguridad en la cadena de suministro de software. Esta propuesta busca abordar una limitación crítica de los esquemas tradicionales de firma de código, que, si bien permiten verificar la autenticidad de un software, no ofrecen mecanismos suficientes para detectar usos indebidos de certificados comprometidos o firmas maliciosas.
La solución se basa en un enfoque de registro transparente y verificable, inspirado en principios de transparencia similares a los utilizados en la seguridad de certificados TLS. Cada firma de código generada por Microsoft se registra en un log inmutable y de solo anexado, lo que permite a cualquier parte interesada —ya sean clientes, auditores o investigadores— verificar qué se firmó, cuándo y bajo qué políticas. Este enfoque añade una capa de trazabilidad y evidencia criptográfica que complementa la confianza depositada en la firma digital.
Uno de los elementos técnicos clave de Signing Transparency es el uso de entornos de computación confidencial para proteger las claves privadas utilizadas en el proceso de firma. Estas claves se alojan en enclaves seguros, lo que reduce el riesgo de exposición incluso en caso de compromisos del sistema operativo o del hipervisor. Además, el sistema emplea estructuras de datos como árboles de Merkle para garantizar la integridad del registro y permitir pruebas de inclusión verificables.
Esta iniciativa se alinea con el modelo de seguridad Zero Trust, que parte del principio de “nunca confiar, siempre verificar”. En lugar de asumir que una firma válida es suficiente para confiar en un software, Signing Transparency permite validar de forma independiente que la firma corresponde a una versión legítima y esperada del software, y que no ha sido manipulada o emitida fuera de los procesos establecidos.
El contexto de esta propuesta responde a un entorno de amenazas cada vez más sofisticado. Casos recientes como los ataques a la cadena de suministro de SolarWinds y 3CX han demostrado cómo los actores maliciosos pueden infiltrarse en procesos de desarrollo y distribución de software para insertar código malicioso firmado con certificados válidos. Iniciativas como la de Microsoft buscan reducir esta superficie de ataque mediante mayor visibilidad y rendición de cuentas.
Signing Transparency se encuentra actualmente en fase de vista previa y se espera que se integre progresivamente en los servicios de Azure y en otros productos de Microsoft. La compañía también ha señalado su intención de colaborar con la comunidad de estándares abiertos y con otras organizaciones del sector para fomentar la adopción de mecanismos similares en todo el ecosistema de software.
Fuente: blog de Microsoft Azure | Editado por CDOL
