Warum ist Code Signing in der CI/CD-Pipeline so wichtig?
In modernen Softwareentwicklungsprozessen sind Continuous Integration (CI) und Continuous Deployment (CD) zum Standard geworden. In Umgebungen, in denen täglich Hunderte von Builds entstehen, ist es aus Sicherheitsgründen zwingend, jede Auslieferung zu signieren. Manuelle Signierprozesse werden bei diesem Tempo zum Engpass – Cloud Code Signing löst dieses Problem mit API-basierter Automatisierung.
Angriffe auf die Lieferkette (Supply Chain Attacks) haben in den letzten Jahren dramatisch zugenommen. Fälle wie SolarWinds, Codecov und 3CX haben vor Augen geführt, wie kritisch die Sicherheit der Build-Pipeline ist. Die Verteilung von unsigniertem oder kompromittiertem Code kann Millionen von Nutzern betreffen.
Architektur einer Cloud-Code-Signing-Pipeline
Eine sichere CI/CD-Signier-Pipeline besteht aus folgenden Komponenten:
- Build-Server: Der CI-Runner, der den Code kompiliert (GitHub Actions, Jenkins Agent usw.)
- Signing-API-Gateway: Die Cloud-API des Zertifikatsanbieters
- Cloud-HSM: Das Hardwaremodul, in dem der private Schlüssel sicher aufbewahrt wird
- Zeitstempelserver (TSA): RFC-3161-konformer Timestamp-Dienst
- Artifact Repository: Das Repository, in dem die signierten Dateien gespeichert werden
Cloud Code Signing mit GitHub Actions
GitHub Actions ist eine der beliebtesten CI/CD-Plattformen. Für die Integration von Cloud Code Signing genügt es, den Signierschritt in die Workflow-YAML-Datei aufzunehmen:
In Ihrem GitHub-Actions-Workflow fügen Sie den Signierschritt nach dem Build-Schritt ein. In diesem Schritt werden Ihre API-Schlüssel über GitHub Secrets sicher übergeben, und der Signiervorgang findet im Cloud-HSM statt. Der private Schlüssel befindet sich zu keinem Zeitpunkt auf dem Runner.
Best Practices für die Sicherheit (GitHub Actions)
- Speichern Sie API-Schlüssel mit GitHub Secrets – schreiben Sie sie niemals im Klartext in die YAML-Datei
- Erlauben Sie das Signieren mit Environment protection rules nur aus dem Production-Branch
- Verwenden Sie eine Authentifizierung auf Basis von OIDC-Token (statt statischer Zugangsdaten)
- Definieren Sie den Signierschritt als eigenen Job mit eingeschränkten Berechtigungen
Integration mit Jenkins
Jenkins ist einer der in Unternehmensumgebungen am weitesten verbreiteten CI-Server. Die Integration von Cloud Code Signing wird über das Jenkinsfile (Pipeline as Code) konfiguriert:
In Ihrer Jenkins-Pipeline halten Sie die API-Schlüssel mit einem withCredentials-Block sicher. Der Signiervorgang läuft nach dem Build als eigene Stage. Der Jenkins Credential Store speichert sensible Daten verschlüsselt.
Empfehlungen für Jenkins
- Verwalten Sie API-Schlüssel über den Jenkins Credential Store
- Konfigurieren Sie den Signier-Node als eigenen Agent mit minimalen Zugriffsrechten
- Stellen Sie den Signierschritt mit einer Pipeline Library allen Projekten zur Verfügung
- Prüfen Sie die Checksummen der Build-Artefakte vor und nach dem Signieren
Integration mit Azure DevOps
Wenn Sie Azure DevOps einsetzen, erfolgt die Integration von Cloud Code Signing über die Azure-Pipeline-YAML-Datei. Die Anbindung an Azure Key Vault schafft eine zusätzliche Sicherheitsebene. Die Azure-DevOps-Extensions einiger Zertifikatsanbieter lassen sich sogar im visuellen Pipeline-Designer verwenden.
Signaturprüfung (Verification)
Die Prüfung der signierten Dateien ist ein entscheidender Teil des Prozesses. Es empfiehlt sich, die Signaturprüfung als letzten Schritt in die Pipeline aufzunehmen:
- Windows:
signtool verify /pa /v dosya.exe - macOS:
codesign --verify --deep --strict uygulama.app - Java (JAR):
jarsigner -verify -verbose dosya.jar - .NET (NuGet):
dotnet nuget verify datei.nupkg
Warum ist der Zeitstempel (Timestamping) wichtig?
Wenn Ihr Code-Signing-Zertifikat abläuft, werden Signaturen ohne Zeitstempel ungültig. Ein RFC-3161-konformer Zeitstempel sorgt dafür, dass Ihre Signatur unabhängig von der Laufzeit des Zertifikats gültig bleibt. Cloud-Code-Signing-Dienste fügen den Zeitstempel in der Regel automatisch hinzu.
Checkliste für die Sicherheit der Lieferkette
- ✅ Werden alle Build-Artefakte signiert?
- ✅ Werden die API-Schlüssel in einem sicheren Vault aufbewahrt?
- ✅ Wird das Signieren nur aus autorisierten Branches ausgelöst?
- ✅ Wird ein Zeitstempel hinzugefügt?
- ✅ Findet die Signaturprüfung in der Pipeline statt?
- ✅ Werden die Audit-Logs regelmäßig ausgewertet?
- ✅ Wird der Zeitplan für die Zertifikatsverlängerung verfolgt?
- ✅ Sind Rollen und Zugriffsrechte auf das Minimum beschränkt?
Fazit
Cloud Code Signing ist ein wirksamer Weg, die Sicherheit in CI/CD-Pipelines zu automatisieren. Ob GitHub Actions, Jenkins oder Azure DevOps – die API-basierte Integration lässt sich in kurzer Zeit konfigurieren. Die Sicherheit der Lieferkette ist eines der vordringlichen Themen des Jahres 2026 – stärken Sie Ihre Pipeline mit automatischem Code Signing.
