什 麼是程式碼簽名證書?

程式碼簽名證書是提供軟體開發者可以進行程式碼軟體數字簽名的認證服務。透過對程式碼的數字簽名可以減少軟體下載時彈出的安全警告，保證程式碼完整性和不被惡意篡改，使廠商資訊對下載使用者公開可見，從而建立良好的軟體品牌信譽度。

為什麼軟體需要程式碼簽名?

使用者線上下載軟體、應用程式、安裝外掛時,必須確信該程式碼是真實可信、沒有受感染或被篡改過.程式碼簽名機制就是透過數字簽名技術和身份認證技術,為軟體程式碼附上可信身份證明並保護程式碼完整性,防止軟體程式碼被仿冒或篡改.

應該選擇哪種程式碼簽名證書?

選購增強型（EV）程式碼簽名證書具有以下優點

l  增強型(EV)程式碼簽名證書在標準程式碼簽名證書已有的優點基礎上，可以提供更強有力的保障，保證釋出者的身份無誤且已透過認證。

l  支援 Windows10 核心驅動簽名

l  嚴格的稽核過程能夠核實更多關於釋出者的資訊，使假冒合法開發商和獲取偽造證書的難度增大。

l  證書儲存在USB身份鎖上可以降低被盜用的風險。

l  在Windows8/Windows10中為您的軟體帶來SmartScreen應用程式信譽功能

l  支援32位和64位 .exe, .dll, .cab, .ocx(ActiveX),.msi等檔案數字簽名

l  支援微軟硬體儀表盤WHQL徽標認證賬戶註冊登入

l  權威時間戳服務可顯示程式的簽名時間

選購標準型程式碼簽名證書具有以下優點

l  標準型程式碼簽名證書可以保證釋出者的身份無誤且已透過認證。

l  嚴格的稽核過程能夠核實更多關於釋出者的資訊，使假冒合法開發商和獲取偽造證書的難度增大。

l  證書儲存在USB身份鎖上可以降低被盜用的風險。

l  獲得微軟智慧螢幕過濾器的即時信譽可以去除終端使用者收到的提示應用軟體可能為惡意軟體的警告資訊

 

程式碼簽名的工作原理

程式碼簽名採用公鑰加密技術結合雜湊演算法實現.軟體開發商在自己電腦上生成私鑰 (.pvk) 和證書請求檔案 (CSR) 提交給CA機構,CA機構按國際標準要求驗證軟體開發商真實身份後簽發程式碼簽名證書.

軟體開發商使用程式碼簽名工具為程式碼生成雜湊值,使用私鑰加密雜湊值生成簽名摘要,將公鑰(證書)、簽名摘要和軟體程式碼一起打包生成已簽名的軟體程式碼,將已簽名程式碼釋出到網路中.終端使用者下載時,可透過系統受信任根證書列表驗證公鑰(證書)的有效性和合法性,確認程式碼來自真實可信的軟體開發商;公鑰解密簽名摘要中的雜湊值與新生成的雜湊值進行比對,雜湊摘要一致,表明軟體程式碼在傳輸過程中沒有被篡改,驗證程式碼完整性.

數字簽名有效期持續多長時間?

申請的每個程式碼簽名證書都有具體的有效期限.只要是在程式碼簽名證書的有效期內,就可以隨時使用它對程式碼進行簽名.程式碼簽名證書到期後,則基於該證書的所有數字簽名也均到期.所以,數字簽名必須包含時間戳,時間戳選項顯示程式碼的簽名時間,讓客戶可以驗證該程式碼簽名證書在進行數字簽名時是否有效,即使程式碼簽名證書過期,之前簽名的程式碼仍然可以驗證.

 

可以將程式碼簽名證書安裝在多臺電腦上嗎?

程式碼簽名證書在獲取後可用於任何計算機.但是,必須透過同一臺計算機申請並獲取程式碼簽名證書.如果您在獲取時出現問題,請確認您使用的是註冊時所用的計算機、瀏覽器以及登入配置檔案.為了提高安全性和改善管理,建議開發商申請多個程式碼簽名證書,而不是共享證書.如果證書因遭到破壞而必須被吊銷,則由該證書籤名的所有應用程式都將被禁用.

使用者如何知道我的簽名是否可信?

終端使用者下載已簽名的軟體程式碼後,可透過檢視軟體屬性中的數字簽名欄檢視證書,確認軟體開發者的真實身份.作業系統根據已有的受信任根證書列表驗證用於數字簽名的證書是否合法有效,如果證書不合法或已失效,作業系統會給予提示.

執行軟體程式碼時,作業系統也會自動驗證該軟體程式碼是否含有有效的數字簽名,沒有有效數字簽名的軟體,系統會發出”釋出者未知”的警告,讓終端使用者謹慎安裝.

如果我的私鑰丟失或受損該怎麼辦?

如果私鑰丟失或受損,或者您的資訊發生變化,那麼您應該立即吊銷程式碼簽名證書,然後申請一張新的程式碼簽名證書取代.

使用程式碼簽名證書籤名的軟體可以直接過白嗎?

程式碼簽名證書主要用於證明軟體開發者身份及驗證軟體程式碼完整性,無法確保簽名軟體直接過白,防毒軟體會根據自己的白名單策略對軟體程式碼進行檢測.

程式碼簽名證書可以用來籤任何軟體嗎?

程式碼簽名是確保軟體釋出環境安全可信的有效機制,嚴禁任何使用者使用程式碼簽名證書為間諜軟體、流氓軟體和駭客軟體等進行數字簽名.否則,一經舉報和查實,沃通有權立即吊銷證書.使用程式碼簽名證書籤名軟體之前使用知名的防毒軟體查一下是否有毒或有惡意程式碼,否則有可能在不知情的情況下由於簽名了惡意軟體而使得證書被吊銷.