Δημοφιλείς ερωτήσεις σχετικά με τα πιστοποιητικά υπογραφής κώδικα

Ε: Για ποιο λόγο χρησιμοποιούνται τα πιστοποιητικά υπογραφής κώδικα;

Α: Τα πιστοποιητικά υπογραφής κώδικα συνιστώνται για χρήση σε όλους τους εκδότες που διανέμουν κώδικα ή περιεχόμενο στο Διαδίκτυο ή σε εταιρικά δίκτυα. Οι πελάτες κατανοούν τους κινδύνους που σχετίζονται με τη λήψη αρχείων από το διαδίκτυο και, ως εκ τούτου, εμπιστεύονται τα υπογεγραμμένα αρχεία σε πολύ μεγαλύτερο βαθμό από τα μη υπογεγραμμένα. Βλέποντας την υπογραφή του εκδότη, ο πελάτης καταλαβαίνει ότι το αρχείο είναι αυθεντικό και δεν περιέχει κακόβουλο λογισμικό. Η υπογραφή του εκδότη είναι ένας αξιόπιστος τρόπος προστασίας της εφαρμογής από τυχόν παρεμβάσεις τρίτων.

Ε: Ποια έγγραφα απαιτούνται για την παραγγελία ενός πιστοποιητικού υπογραφής κώδικα;

Α: Τα τυποποιημένα πιστοποιητικά υπογραφής κώδικα είναι διαθέσιμα για μεμονωμένους επιχειρηματίες και νομικά πρόσωπα.

Στην περίπτωση της Sectigo(Comodo) θα χρειαστείτε: 1:

μια σύνδεση με μια κυβερνητική βάση δεδομένων με την εγγραφή της εταιρείας σας,
στοιχεία επικοινωνίας: όνομα, ηλεκτρονικό ταχυδρομείο, τηλέφωνο, τίτλος,
μια σάρωση κυβερνητικής ταυτότητας με φωτογραφία (όπως διαβατήριο, άδεια οδήγησης κ.λπ.) απαιτείται για την επαλήθευση του αιτούντος (επαφή διαχειριστή) στην παραγγελία,
μια selfie με κυβερνητική ταυτότητα με φωτογραφία [διαβατήριο, άδεια οδήγησης] (θα πρέπει να περιέχει φωτογραφία, όνομα).
Πρόκειται για υποχρεωτικές απαιτήσεις της Sectigo, περισσότερες λεπτομέρειες:
https://sectigo.com/knowledge-base/detail/OV-Code-Signing-Validation-for-Organizations-and-Individuals/kA01N000000brb0
για την επαλήθευση του αριθμού τηλεφώνου: σύνδεσμος σε ηλεκτρονικό κατάλογο με την εγγραφή της εταιρείας σας(από το kompass.com ή τον αριθμό DUNS).
Αυτό το προφίλ πρέπει να περιέχει την επωνυμία της εταιρείας, τη διεύθυνση και τον αριθμό τηλεφώνου.

In the case of Digicert you will need:

έναν σύνδεσμο προς μια κυβερνητική βάση δεδομένων με την εγγραφή της εταιρείας σας,
στοιχεία επικοινωνίας: όνομα, ηλεκτρονικό ταχυδρομείο, τηλέφωνο, τίτλος,
Για την επαλήθευση του αριθμού τηλεφώνου: εγγραφή εταιρείας στο dnb.com/DUNS ή κρατική εγγραφή με αριθμό τηλεφώνου.

In the case of Certum you will need:

Έγγραφο εγγραφής του οργανισμού
Εξουσιοδότηση/ πληρεξούσιο: Υπογεγραμμένη σύμφωνα με τον τρόπο εκπροσώπησης που ορίζεται στο έγγραφο εγγραφής. *Απαιτείται μόνο εάν το άτομο που υποβάλλει αίτηση για το πιστοποιητικό δεν είναι εξουσιοδοτημένο να εκπροσωπεί τον οργανισμό ανεξάρτητα.
Τιμολόγιο κοινής ωφέλειας (απαιτείται μόνο για την EV): Τιμολόγιο για υπηρεσίες κοινής ωφέλειας που έχει εκδοθεί στο όνομα του οργανισμού και επιβεβαιώνει την τρέχουσα διεύθυνση της έδρας της εταιρείας (π.χ. τιμολόγιο για φυσικό αέριο, ηλεκτρικό ρεύμα, νερό, σταθερό τηλέφωνο, σταθερό Internet, ενοικίαση χώρου γραφείων ή σύμβαση μίσθωσης).

Η LeaderTelecom δεν εκδίδει πιστοποιητικά υπογραφής κώδικα σε ιδιώτες.

Το πιστοποιητικό Code Signing EV διατίθεται μόνο σε νομικά πρόσωπα. Οι απαιτήσεις για την έκδοσή του είναι οι ίδιες, αλλά η επαλήθευση είναι πιο ενδελεχής (ελέγχονται κρατικές πηγές).

Ε: Πώς υπογράφω έναν κώδικα χρησιμοποιώντας ένα πιστοποιητικό υπογραφής κώδικα;

Α: Για να υπογράψετε έναν κώδικα, πρέπει να τον περάσετε από έναν ειδικό αλγόριθμο κατακερματισμού και, στη συνέχεια, να χρησιμοποιήσετε το ιδιωτικό σας κλειδί για να υπογράψετε τον κατακερματισμό, δίνοντάς σας μια ψηφιακή υπογραφή. Στη συνέχεια, δημιουργείτε ένα μπλοκ υπογραφής που περιέχει την ψηφιακή υπογραφή και το πιστοποιητικό υπογραφής κώδικα. Εργαλεία όπως το Authenticode σας επιτρέπουν να ορίσετε μια χρονοσφραγίδα για ένα μπλοκ υπογραφής με βάση την τρέχουσα ημερομηνία και ώρα. Τέλος, δεσμεύετε το μπλοκ υπογραφής με χρονοσφραγίδα στο λογισμικό. Τώρα μπορείτε να δημοσιεύσετε ένα υπογεγραμμένο πρόγραμμα στον ιστότοπό σας για λήψη.

Η χρονοσφραγίδα είναι απαραίτητη προκειμένου να διασφαλιστεί ότι η εγκυρότητα του κώδικα δεν λήγει με την περίοδο ισχύος του πιστοποιητικού υπογραφής κώδικα. Εάν ο κώδικάς σας διαθέτει χρονοσφραγίδα, τότε η ψηφιακή υπογραφή θα είναι έγκυρη ακόμη και μετά τη λήξη του πιστοποιητικού. Νέο πιστοποιητικό θα χρειαστεί μόνο αν θέλετε να υπογράψετε έναν επιπλέον κώδικα. Εάν δεν χρησιμοποιήσατε τη δυνατότητα προσθήκης χρονοσφραγίδων κατά τη διαδικασία υπογραφής της εφαρμογής, θα πρέπει να υπογράψετε εκ νέου τον κωδικό και να τον στείλετε στους πελάτες σας.

Ε: Πώς να χρησιμοποιήσετε το πιστοποιητικό σας μετά την αγορά του;

Α: Εξαρτάται από τον τύπο του πιστοποιητικού. Μπορείτε να βρείτε τις οδηγίες εδώ

Ε: Τι συμβαίνει εάν το πιστοποιητικό υπογραφής κώδικα λήξει;

Α: Τα πιστοποιητικά υπογραφής κώδικα εκδίδονται για περίοδο ενός έως τριών ετών. Η λήξη ενός πιστοποιητικού υπογραφής κώδικα σημαίνει ότι δεν μπορείτε να δημιουργήσετε νέες υπογραφές. Όλες οι προηγούμενες υπογραφές θα λειτουργούν για μια συγκεκριμένη χρονική στιγμή.

Στην περίπτωση του Microsoft Authenticode, η χρήση χρονοσφραγίδων σημαίνει ότι ο κώδικας δεν θα λήξει όταν λήξει το πιστοποιητικό.

Εάν δεν χρησιμοποιούνται χρονοσφραγίδες, τότε όταν λήξει το πιστοποιητικό θα πρέπει να υπογράψετε εκ νέου τον κώδικα και να τον στείλετε στους πελάτες σας.

Αξίζει να θυμάστε ότι ορισμένα πιστοποιητικά δεν υποστηρίζουν τη δημιουργία χρονοσφραγίδων (για παράδειγμα, πιστοποιητικά για Netscape Object Signing και Sun Java).

Ερ: Ποια είναι η διαφορά μεταξύ της υπογραφής κώδικα και της υπογραφής εγγράφων; Μπορώ να υπογράψω αρχεία PDF με συνηθισμένα πιστοποιητικά υπογραφής κώδικα;

Α: Τις περισσότερες φορές, τα πιστοποιητικά υπογραφής κώδικα έχουν μια επέκταση extKeyUsage με τιμή Code Signing και μερικές φορές και εμπορική υπογραφή κώδικα. Ωστόσο, δεν έχουν τιμές που να επιτρέπουν άλλες χρήσεις.

Το RFC 5280 για την επέκταση Extended Key Usage υπονοεί ότι "εάν η επέκταση καθορίζεται, τότε το πιστοποιητικό θα πρέπει να χρησιμοποιείται μόνο για την επίτευξη ενός από τους σχετικούς στόχους".

Ωστόσο, στην προκειμένη περίπτωση, το πιστοποιητικό υπογραφής κώδικα χρησιμοποιείται για την υπογραφή ενός εγγράφου που δεν είναι κώδικας, γεγονός που αποτελεί άμεση παραβίαση των προδιαγραφών των πιστοποιητικών υποδομής δημόσιου κλειδιού X.509.

Για το λόγο αυτό, υπάρχει μεγάλη πιθανότητα το Adobe Reader να απορρίψει τις υπογραφές PDF που δημιουργούνται με τη χρήση πιστοποιητικού υπογραφής κώδικα. Και, ακόμη και αν δεν υπάρχουν προβλήματα με τα πιστοποιητικά τώρα, δεν είναι εγγυημένο ότι αυτό δεν θα συμβεί στο μέλλον με την κυκλοφορία νέων εκδόσεων του Adobe Reader. Για το λόγο αυτό, πολλοί μεταπωλητές πιστοποιητικών κάνουν διάκριση μεταξύ πιστοποιητικών για υπογραφή κώδικα και πιστοποιητικών για υπογραφή εγγράφων (ειδικότερα, πιστοποιητικών για υπογραφή PDF). Οι τιμές για τα πιστοποιητικά PDF είναι συχνά αρκετές φορές υψηλότερες.

Ερ: Υπάρχουν διαφορές μεταξύ των πιστοποιητικών υπογραφής κώδικα για Java, Adobe AIR, Authenticode, VBS;

Α: Όπως προκύπτει από την προδιαγραφή RFC 5280, οποιοδήποτε πιστοποιητικό υπογραφής κώδικα μπορεί να χρησιμοποιηθεί για την υπογραφή κώδικα Java, κώδικα AIR, Authenticode, VBS κ.λπ. Κατά συνέπεια, από τεχνική άποψη, δεν υπάρχουν διαφορές μεταξύ των πιστοποιητικών υπογραφής κώδικα.

Ωστόσο, ορισμένες αρχές πιστοποίησης ενδέχεται να επιβάλλουν ορισμένους περιορισμούς στο πεδίο εφαρμογής των πιστοποιητικών υπογραφής κώδικα.

Ε: Πώς να υπογράψω τα αρχεία εγκατάστασης .msi του Visual Studio; Αφού υπογράψω το .msi, όλα τα αρχεία .exe που περιλαμβάνονται στο πακέτο εγκατάστασης χάνουν τις υπογραφές τους. Τι πρέπει να κάνω για να διασφαλίσω ότι οι υπογραφές αυτών των αρχείων παραμένουν κατά τη διάρκεια της εγκατάστασης του πακέτου στον υπολογιστή του πελάτη;

Απάντηση: Το Visual Studio δημιουργεί δύο φακέλους κατά τη στιγμή της μεταγλώττισης: obj και bin. Τα αρχεία εξόδου αντιγράφονται τις περισσότερες φορές από το φάκελο obj στο φάκελο bin. Εάν υπογράψετε αρχεία στο φάκελο bin, αυτά θα αντικατασταθούν αργότερα από αρχεία από το φάκελο obj. Η διέξοδος: υπογραφή αρχείων exe που βρίσκονται στο φάκελο obj. Σε αυτή την περίπτωση, οι υπογραφές όλων των αρχείων exe θα παραμείνουν.

Ε: Υπάρχουν περιορισμοί στον αριθμό των εφαρμογών που μπορούν να υπογραφούν με τη χρήση ενός πιστοποιητικού υπογραφής κώδικα;

Α: Όχι. Μπορείτε να υπογράψετε όσες εφαρμογές χρειάζεστε με το πιστοποιητικό υπογραφής κώδικα, με την προϋπόθεση ότι η εφαρμογή διανέμεται από τον οργανισμό για τον οποίο εκδόθηκε το πιστοποιητικό.

Ε: Μπορώ να υπογράψω προγράμματα οδήγησης (Kernel-mode) χρησιμοποιώντας ένα πιστοποιητικό υπογραφής κώδικα;

Α: Όχι, από τον Μάιο του 2021 η υπογραφή οδηγών για τα Windows 8, 10 δεν υποστηρίζεται πλέον. Πηγή: Απόσυρση των πιστοποιητικών έκδοσης λογισμικού.

Ε: Πώς μπορώ να παρακάμψω την έξυπνη οθόνη κατά την εγκατάσταση μιας υπογεγραμμένης εφαρμογής στα Windows® 8/10/11;

Α: Πρέπει να χρησιμοποιήσετε το πιστοποιητικό υπογραφής κώδικα EV. Τα προγράμματα που έχουν υπογραφεί με το Code Signing EV είναι αυτόματα αξιόπιστα, ακόμη και αν δεν υπάρχει φήμη για αυτόν τον εκδότη ή το αρχείο. Μπορείτε να ορίσετε τη φήμη μόνο για πιστοποιητικά Authenticode που έχουν εκδοθεί από μια αρχή πιστοποίησης που είναι μέλος του προγράμματος πιστοποιητικών ρίζας των Windows®.

Μπορείτε να παραγγείλετε τα ακόλουθα πιστοποιητικά EV από εμάς:
Certum EV Υπογραφή κώδικα στο σύννεφο

Υπογραφή κώδικα EV της Sectigo(Comodo)

Digicert EV Code Signing

Ε: Είναι δυνατή η φήμη στο SmartScreen με τη χρήση τυπικού πιστοποιητικού υπογραφής κώδικα;

Α: Ναι, είναι εφικτό, αλλά αυτό απαιτεί περίπου 3000 λήψεις εφαρμογών (κατά προσέγγιση δεδομένα).

Ε: Μπορώ να υπογράψω λογισμικό Mac χρησιμοποιώντας τα προϊόντα υπογραφής κώδικα που διαθέτετε;

Α: Όχι, παρακαλούμε ελέγξτε το https://developer.apple.com/support/code-signing/.

Ε: Τα αρχεία PFX δεν είναι πλέον διαθέσιμα για τα πιστοποιητικά υπογραφής κώδικα. Ποιες είναι οι άλλες επιλογές;

Α: Από τις 06/01/2023, τα αρχεία PFX δεν είναι πλέον διαθέσιμα για πιστοποιητικά υπογραφής κώδικα.

Τα σύγχρονα πρότυπα απαιτούν τα ιδιωτικά κλειδιά για τα πιστοποιητικά υπογραφής κώδικα να παράγονται και να αποθηκεύονται σε ασφαλή περιβάλλοντα.

Αυτό συνήθως σημαίνει τη χρήση συσκευών υλικού, όπως HSM, έξυπνες κάρτες ή ασφαλείς μάρκες USB.

Η δημιουργία ιδιωτικών κλειδιών σε αυτές τις συσκευές εξασφαλίζει ότι το κλειδί δεν μπορεί να εξαχθεί ή να εξαχθεί, εμποδίζοντας έτσι την έκδοση πιστοποιητικών σε μορφή PFX.

Η Sectigo προσφέρει τώρα τα πιστοποιητικά της σε μάρκες USB:

https://www.leaderssl.com/suppliers/comodo/products/code_signing

https://www.leaderssl.com/suppliers/comodo/products/code_signing_ev

Εναλλακτικά, προσφέρουμε τώρα πιστοποιητικά από την Certum:

https://www.leaderssl.com/suppliers/certum/products/code_signing_ev

https://www.leaderssl.com/suppliers/certum/products/code_signing

Αυτά αναφέρονται ως"στο σύννεφο".

Θα χρειαστεί να χρησιμοποιήσετε μια ειδική εφαρμογή γραφείου και να υπογράψετε μέσω του signtool.