Tipps zur Sicherheit bei Einsatz dynamischer Bibliotheken

Die Einbindung der CRYPTO-BOX^® via API in den Quellcode Ihrer Anwendung bietet Ihnen maximale Flexibilität und ein hohes Schutzniveau, wenn Sie unsere Tipps zur sicheren Implementierung beherzigen.

Wir stellen unsere Bibliotheken zur Einbindung der CRYPTO-BOX sowohl als statische Bibliotheken (beispielsweise für C++ und Delphi), als auch als DLLs zur Verfügung. Wenn möglich, sollten Sie aus Sicherheitsgründen der statischen Einbindung den Vorzug geben.

Aber auch bei dynamischen Bibliotheken können Sie die Sicherheit verbessern: wenn Sie die cbios_dll.dll, die CBIOS4NET-Bibliotheken für C#, oder unsere jnicbios.dll für Java einbinden, empfehlen wir Ihnen, diese Bibliotheken vor dem Laden explizit zu verifizieren. Damit stellen Sie sicher, dass die Bibliothek nicht manipuliert oder durch eine fremde Datei ersetzt wurde. Alle von uns im aktuellen Smarx OS Protection Kit ausgelieferten Versionen der oben genannten DLLs sind mit einem Extended-Validation (EV) Code Signing Zertifikat signiert und erfüllen damit höchste Anforderungen an Authentizität und Integrität.

Zur Verifizierung kann unter Windows die Betriebssystemfunktion WinVerifyTrust verwendet werden. Diese API prüft die Authenticode-Signatur der Datei, die vollständige Zertifikatskette bis zu einer vertrauenswürdigen Root-CA sowie – je nach Konfiguration – Zeitstempel und Zertifikatswiderruf.

Die Prüfung sollte vor dem Laden der Bibliothek erfolgen, also bevor LoadLibrary, System.load() oder entsprechende .NET-Mechanismen aufgerufen werden. Nur wenn die Signaturprüfung erfolgreich ist, sollte die Bibliothek verwendet werden. Auf diese Weise stellen Sie sicher, dass ausschließlich original von uns ausgelieferte und unveränderte Komponenten in Ihrer Anwendung ausgeführt werden.

Dieses Vorgehen lässt sich einheitlich für allen oben genannten MARX-DLLs umsetzen:

• in C++ direkt über die Windows-API,
• in C# per P/Invoke,
• in Java z.B. über JNA oder JNI.

Beispielcode für C++ finden Sie im aktuellen Smarx OS Protection Kit unter:
[PPK-Hauptverzeichnis]\SmarxOS-Samples\CBIOS\C++\MSVS2005 (Dll)

Gern beantworten wir weitere Fragen zur CRYPTO-BOX Einbindung - rufen Sie uns an oder nutzen Sie unser Kontaktformular.