Profesjonalne certyfikaty Code Signing DigiCert

Certyfikat Code Signing jest mocno zalecany wszystkim wydawcom oprogramowania, którzy planują dystrybucję kodu lub treści przez Internet, aby uwierzytelnić integralność oraz poświadczyć pochodzenie tego kodu.

Ryzyka podszywania się pod inne osoby lub ingerencji w transmisję są znaczne przy przesyłaniu treści przez Internet. Użytkownicy końcowi są coraz bardziej świadomi tych zagrożeń i z większym prawdopodobieństwem pobiorą treść, która jest cyfrowo podpisana przez wystawcę.

Certyfikaty Code Signing firmy DigiCert są skutecznym sposobem na bezpieczną dystrybucję oprogramowania przez Internet. Jest to unikalny produkt, który oferuje pełną ochronę, łatwość użycia oraz elastyczność (możliwość użycia dla różnego oprogramowania na różnych platformach).

Cechy certyfikatów Code Signing

• Używa pojedynczego certyfikatu dla większości platform i aplikacji
• Pozwala na podpisywanie aplikacji, instalatorów, bibliotek, skryptów oraz innych komponentów oprogramowania wykorzystywanych na różnych platformach.
• Uwierzytelniony podpis cyfrowy uwiarygadnia kod oprogramowania zanim zostanie pobrany.
• Zapewnia, że wydawany kod nie może być modyfikowany przez osoby trzecie przed lub podczas transmisji.
• Pozwala odbiorcom końcowym dotrzeć łatwiej do wydawcy oprogramowania.
• Zwiększa zaufanie użytkowników do dystrybuowanego oprogramowania.
• Wykorzystuje najwyższej jakości procedury certyfikacji DigiCert.
• Wzmacnia zaufanie wśród odbiorców.
• Zapewnia pełne wsparcie dla Certificate Revocation List (CRL).
• Obsługuje Online Certificate Status Protocol (OCSP).

Działanie certyfikatu DigiCert Code Signing

W momencie pobierania aplikacji przez użytkownika w przeglądarce internetowej pojawia się okienko pop-up, w którym użytkownik może podjąć decyzję o pobraniu lub nie tej aplikacji. Jeśli aplikacja jest podpisana cyfrowo, pop-up zawierać będzie dane jej wydawcy. Prawidłowy podpis da użytkownikowi pewność, że aplikacja jest bezpieczna. W przeciwnym wypadku zobaczy on ostrzeżenia o nieznanym pochodzeniu produktu, co skutecznie może zniechęcić do pobrania aplikacji.

Dzięki certyfikatowi użytkownicy mogą bezpiecznie pobierać aplety, pluginy czy makra z Twojej strony. Możesz podpisać kontrolki ActiveX, pliki wykonywalne lub pliki .cab. Certyfikat może zostać również użyty do podpisania instalatorów InstallShield oraz Wise.

Podpisany kod jest lepiej postrzegany przez systemy operacyjne oraz mechanizmy bezpieczeństwa (np. Microsoft SmartScreen), co w praktyce zmniejsza liczbę ostrzeżeń wyświetlanych podczas instalacji aplikacji i zwiększa zaufanie odbiorców. Skuteczność tych mechanizmów zależy również od reputacji aplikacji oraz sposobu jej dystrybucji.

Aby zmaksymalizować liczbę użytkowników pobierających Twoje oprogramowanie, proces instalacji powinien zaczynać się od komunikatu, który buduje zaufanie. Komunikat „This app has been blocked for your protection“ zdecydowanie nie zachęca do instalacji. Jeśli chcesz go uniknąć, Twój kod musi być cyfrowo podpisany, aby potwierdzić autentyczność i integralność.

Certyfikat może być używany do podpisywania m.in. plików wykonywalnych (.exe, .msi, .dll), instalatorów, aktualizacji oprogramowania, skryptów oraz makr Microsoft Office. Możliwe jest podpisywanie dowolnej liczby aplikacji i ich wersji w okresie ważności certyfikatu.

DigiCert stosuje rygorystyczne procedury weryfikacji wydawców oprogramowania (OV oraz EV) oraz zapewnia obsługę mechanizmów weryfikacji statusu certyfikatu (CRL, OCSP) i znakowanie czasem (timestamping). Dzięki temu podpis pozostaje ważny także po wygaśnięciu certyfikatu, o ile został wykonany w okresie jego ważności.

Działanie certyfikatu DigiCert Code Signing na wielu platformach

Certyfikaty DigiCert Code Signing są obsługiwane przez większość głównych platform. Umożliwiają podpisywanie m.in.:

• aplikacji Microsoft Authenticode
• aplikacji Apple
• plików Adobe AIR
• oraz innych formatów i środowisk

Rodzaje certyfikatów Code Signing

Po wysłaniu zamówienia na certyfikat Code Signing wybierzesz rodzaj certyfikatu. Wybór zależy od oprogramowania, które będziesz podpisywać. Certyfikat multi-purpose pozwala na podpisywanie różnych rodzajów aplikacji. W celu uzyskania szczegółowych informacji prosimy o zapoznanie się z dokumentacją na stronach DigiCert.

• DigiCert® Code Signing Certificate for Mac® - te certyfikaty mogą być użyte przez developerów aplikacji przeznaczonych dla Apple z przyszłymi wersjami systemu Mac OS aby podpisywać oprogramowanie do dystrybucji elektronicznej.
• DigiCert® Code Signing Certificate for Sun Java® - te certyfikaty mogą być użyte wraz z JavaSoft's JDK 1.3 oraz późniejszymi do podpisywania appletów.
• DigiCert® Code Signing Certificate for Microsoft® Authenticode® (Multi-Purpose) - te certyfikaty są używane wraz z narzędziami Microsoft InetSDK do podpisywania kontrolek ActiveX, plików .CAB, .EXE oraz .DLL files, oraz innej aktywnej zawartości w systemach Microsoft Windows 7, Vista, XP, 2000, NT oraz 9x. Te certyfikaty wymagają przeglądarki Microsoft IE 4.0 lub nowszej.
• DigiCert® Code Signing Certificate for Microsoft® Office and VBA - te certyfikaty są identyczne z certyfikatami Microsoft Authenticode, są używane przez developerów do podpisywania makr w Office 2000 i innych środowiskach VBA 6.0.
• DigiCert® Code Signing Certificate for Adobe® AIR® - te certyfikaty służą do podpisywania aplikacji dla Adobe AIR.

Bezpieczne przechowywanie klucza prywatnego

Zgodnie z aktualnymi wymaganiami branżowymi klucz prywatny certyfikatu Code Signing musi być generowany i przechowywany w bezpiecznym środowisku sprzętowym, takim jak token kryptograficzny lub usługa HSM. Ma to na celu ochronę klucza przed kradzieżą i nieautoryzowanym użyciem.

W zależności od wybranego wariantu certyfikat może być:

• dostarczony na fizycznym tokenie kryptograficznym lub zainstalowany na już posiadanym tokenie spełniającym wymagania techniczne (FIPS 140-2 Level 2 / CC EAL4+ lub równoważne),
• wydany w modelu bez fizycznego tokena, z wykorzystaniem bezpiecznej infrastruktury HSM (cloud signing).

Różnice między OV i EV Code Signing

Certyfikat OV Code Signing potwierdza tożsamość organizacji jako wydawcy oprogramowania.

Certyfikat EV Code Signing obejmuje rozszerzoną weryfikację i w praktyce pozwala szybciej budować zaufanie aplikacji w systemach operacyjnych. W określonych scenariuszach certyfikat EV może ograniczyć liczbę ostrzeżeń bezpieczeństwa, jednak ich całkowite wyeliminowanie zależy również od reputacji aplikacji oraz sposobu jej dystrybucji, a nie wyłącznie od typu certyfikatu.