摘要：现代软件开发非常复杂，需要持续不断地进行代码开发、部署和更新。作为软件开发者或供应商，您肯定不希望自己的代码成为安全隐患。尤其是在用户尝试安装软件时，弹出“未知发布者。是否继续？”的弹窗。

现代软件开发非常复杂，需要持续不断地进行代码开发、部署和更新。作为软件开发者或供应商，您肯定不希望自己的代码成为安全隐患。尤其是在用户尝试安装软件时，弹出“未知发布者。是否继续？”的弹窗。

警告信息并不一定意味着您的代码是恶意的，但它确实意味着它缺乏数字信任。

代码签名证书可以提供帮助。它是一种数字证书，允许软件开发人员和供应商对应用程序、脚本、可执行文件和驱动程序进行数字签名。它可以让用户相信他们安装的软件是真实的，并且没有被篡改过。

这篇文章介绍了什么是代码签名证书、它们为什么重要、它们在哪里使用以及如何正确地管理它们，不仅从安全角度，而且从商业角度。

什么是代码签名证书？

代码签名证书是一种数字身份证或证书，用于验证软件和其他可执行代码的完整性。它是一种数字签名，可以帮助用户确保他们下载和安装的软件是真实的。

代码签名证书由证书颁发机构(CA)颁发。此类证书可以包含软件开发者、构建软件的商业实体或供应商的信息。它也被称为软件发布者证书，是一种数字凭证，用于验证发布者的身份并帮助确立软件的合法性。

开发人员和供应商可以从两种类型的代码签名证书中进行选择：

组织验证(OV)代码签名证书

扩展验证(EV)代码签名证书

代码签名为何重要

如今，代码签名对于所有开发和分发软件的人来说都至关重要。它有助于确保软件的安全性和完整性，这一点至关重要，因为针对供应链的攻击数量每天都在增加。代码签名可能无法阻止这些攻击，但它可以防止被篡改的代码被信任，并允许用户便捷地进行安装，因为这样您就不会看到任何安全警告。

信任也是企业关注的一个因素。那些可能需要安装软件的用户不太可能安装那些看起来可疑的软件。金融和医疗保健等受监管行业也受法律管辖，这些法律要求代码签名以实现监管合规性并降低法律和财务风险。

代码签名证书如何工作？

代码签名过程建立在公钥加密的基础上，它是身份验证、散列和创建数字签名的组合。

软件开发人员通过审核和认证流程向Gworg申请代码签名证书。证书颁发后，开发人员可以使用这些证书对其软件进行数字签名。

在对软件进行代码签名之前，开发人员需要生成一对公钥/私钥。开发人员保护私钥，而公钥则通过证书与用户共享。

下一步是执行哈希过程。软件代码通过哈希函数运行。它会生成一个代表代码内容的固定长度哈希值。然后，开发人员使用私钥加密该哈希值，从而创建数字签名。

然后，数字签名与证书和可信时间戳一起签署，并附加到软件代码中。这样就得到了可供用户和操作系统验证的签名代码。

软件开发人员和供应商的代码签名常见用例

代码签名对于帮助软件开发者和供应商建立信任、防止篡改以及实现跨平台的顺畅分发至关重要。以下是代码签名证书的一些关键用例，它们直接支持安全可靠的软件交付。

桌面应用程序（Windows、macOS）

对于桌面软件而言，代码签名对于赢得最终客户的信任至关重要。在Windows和macOS中，未签名的应用程序会发出安全警告，或者会被默认设置自动屏蔽。此类警告会打击用户的积极性，影响其采用率。

软件上的有效数字签名将确保软件自签名以来未被篡改。这将确保安装过程顺利，不会出现任何安全错误。

移动应用程序（iOS、Android）

代码签名对于移动平台来说是强制性的。AppleAppStore和GooglePlayStore都鼓励在应用程序发布前进行严格的签名。签名可以验证开发者的合法性，并保护用户免受未经授权或可疑软件的侵害。

因此，如果没有有效的证书，开发人员将无法在这些平台上分发应用程序，因此签名是移动应用程序生命周期中一个基本但重要的过程。

驱动程序和固件

驱动程序和固件在设备的最底层运行，并直接与操作系统和硬件交互。这增加了它们对试图控制系统的攻击者的攻击风险。代码签名将确保它们可信且未经修改。

例如，Windows会反对加载未签名的驱动程序，这是一个硬信任链。使用固件签名的固件更新也可以让用户确信设备级别的关键更新没有被篡改。

脚本和宏（PowerShell、VBA）

脚本和宏是企业自动化和生产力的重要组成部分。但它们也是恶意软件常见的攻击手段，尤其是在网络钓鱼攻击中，攻击者会滥用Office文件中的宏。

这些脚本可以使用受信任的代码签名证书进行签名，从而使IT团队能够实施阻止未签名和未经验证的代码的执行策略。通过这种方式，企业可以实现自动化和有效安全性的结合，而不像其他方法那样，只有有效的、被认可的脚本才能在企业环境中执行。

CI/CD管道中的更新

持续集成和持续交付(CI/CD)是现代开发流程中的重要概念之一，它使定期生产和更新更加高效。对这些流程使用代码签名有助于确认所有构建、补丁或更新在到达最终用户之前都是真实的。

组织可以直接在Jenkins、AzureDevOps或GitHubActions等工具中构建签名，通过自动化创建信任链。这可以阻止未经验证或恶意的构建，并增强对每次发布的信心。

代码签名证书的最佳实践

以下是代码签名认证过程中应遵循的一些最佳实践。

安全私钥管理

确保私钥安全至关重要，因为它是代码签名过程中最敏感的资产。有几种方法可以保护您的私钥安全，例如将其存储在硬件安全模块(HSM)中、受信任的云密钥保管库（AWSKMS或AzureKeyVault）中，或者使用YubiKey等硬件令牌。所有这些方法都很安全，并且有助于防止未经授权的访问。

基于角色的访问控制确保只有授权人员才能执行签名操作。如果没有这些安全措施，私钥可能会丢失，并被用于以组织的名义传播恶意软件。

自动化代码签名

频繁的发布周期使得手动代码签名变得不切实际。自动化代码签名流程可以帮助开发人员节省时间、减少人为错误，并保证构建的一致性。

任何人都可以使用Jenkins、AzureDevOps和GitHubActions等常用平台轻松实现自动化。通过在CI/CD流水线中启用自动化，每个版本都可以可靠地签名，而不会减慢开发周期。

定期证书轮换和盘点

过期或未追踪的证书可能会给最终用户带来问题。为了防止出现此问题，组织需要在证书到期前定期进行证书轮换，并清晰地记录所有有效和已停用的证书。此策略可以降低孤立证书被遗忘的可能性，并维护软件信任。

时间戳签名

时间戳是维护长期信任的重要最佳实践。通过在签名时应用可信时间戳，软件签名即使在原始证书过期后仍然有效。如果没有时间戳，旧版本可能会突然变得不受信任，从而导致用户摩擦和潜在的品牌损害。

面向开发人员和供应商的最佳代码签名证书

并非所有证书都保证同等程度的安全性。大多数用例（例如桌面软件、移动应用程序和脚本）都可以使用常规代码签名证书。对于安全性要求更高的用例（例如Windows内核驱动程序），最好选择扩展验证(EV)代码签名证书。

EV证书发布者的身份必须经过更严格的审查，以减少用户和操作系统的担忧。作为证书颁发机构(CA)，关注最大操作系统和平台覆盖范围可以最大程度地验证最终用户的安装情况。除了兼容性之外，还需要考虑CA的验证流程、支持质量以及长期可靠性。

虽然人们可能会倾向于使用最便宜的代码签名证书，但重要的是要知道，CA的稳定性和可靠性会直接影响到软件的声誉。花钱购买合适的CA，就等于花钱损害你的声誉和用户信任。

最后的想法

代码签名已从最低要求转变为最佳实践。对于开发人员而言，它确保了软件完整性；对于供应商而言，它建立了用户信任、合规性并降低了风险；对于最终用户而言，它提供了无忧安装的保障。

随着软件持续赋能我们生活的方方面面，信任已成为真正的货币。代码签名证书是开发人员和供应商赢得信任的途径。立即使用Gworg来巩固这份信任。

来源：小黄科技每日一讲