Priljubljena vprašanja o potrdilih za podpisovanje kod

V: Za kaj se uporabljajo potrdila za podpisovanje kod?

O: Potrdila za podpisovanje kode je priporočljivo uporabljati vsem založnikom, ki širijo kodo ali vsebino na internetu ali v podjetniških omrežjih. Odjemalci se zavedajo tveganj, povezanih s prenašanjem datotek s spleta, zato podpisanim datotekam zaupajo v veliko večji meri kot nepodpisanim. Ko stranka vidi podpis založnika, razume, da je datoteka pristna in ne vsebuje zlonamerne programske opreme. Podpis izdajatelja je zanesljiv način za zaščito aplikacije pred posegi tretjih oseb.

V: Kateri dokumenti so potrebni za naročilo potrdila za podpisovanje kode?

O: Standardna potrdila za podpisovanje kod so na voljo za samostojne podjetnike in pravne osebe.

V primeru Sectigo(Comodo) boste potrebovali:

• povezavo do vladne podatkovne zbirke z registracijo podjetja;
• kontaktne podatke: ime in priimek, e-pošto, telefon, naziv;
• za preverjanje prosilca (kontaktne osebe upravitelja) na naročilu je potreben optični odčitek osebnega dokumenta s fotografijo, ki ga je izdala vlada (na primer potni list, vozniško dovoljenje itd.);
• selfie z državno izdano fotografsko izkaznico [potni list, vozniško dovoljenje] (vsebovati mora fotografijo in ime).
  To so obvezne zahteve podjetja Sectigo, več podrobnosti:
  https://sectigo.com/knowledge-base/detail/OV-Code-Signing-Validation-for-Organizations-and-Individuals/kA01N000000brb0.
• za preverjanje telefonske številke: povezava do spletnega imenika z registracijo vašega podjetja(iz kompass.com ali številka DUNS).
  Ta profil mora vsebovati ime podjetja, naslov in telefonsko številko.

V primeru storitve Digicert boste potrebovali:

• povezavo do državne podatkovne zbirke z vašo registracijo podjetja;
• kontaktne podatke: ime, e-pošto, telefon, naziv;
• za preverjanje telefonske številke: registracijo podjetja na dnb.com/DUNS ali državno registracijo s telefonsko številko.

V primeru družbe Certum boste potrebovali: - podatke o številu telefonskih številk, ki jih je treba pridobiti:

• registracijski dokument organizacije
• pooblastilo/pooblastilo: Podpisano v skladu z načinom zastopanja, določenim v registracijskem dokumentu. *Zaželeno samo, če posameznik, ki zaprosi za potrdilo, ni pooblaščen za samostojno zastopanje organizacije.
• Račun za komunalne storitve (zahteva se samo za EV): Račun za komunalne storitve, izdan na ime organizacije, ki potrjuje trenutni naslov sedeža podjetja (npr. račun za plin, elektriko, vodo, stacionarni telefon, fiksni internet, najem pisarniškega prostora ali najemna pogodba).

Družba LeaderTelecom ne izdaja potrdil za podpisovanje kod posameznikom.

Potrdilo Code Signing EV je na voljo samo pravnim osebam. Zahteve za njegovo izdajo so enake, vendar je preverjanje temeljitejše (preverijo se državni viri).

V: Kako podpisati kodo s potrdilom Code Signing?

O: Če želite podpisati kodo, jo morate prenesti skozi poseben algoritem za hashanje, nato pa z zasebnim ključem podpisati hash, s čimer dobite digitalni podpis. Nato ustvarite podpisni blok, ki vsebuje digitalni podpis in potrdilo Code Signing. Orodja, kot je Authenticode, omogočajo nastavitev časovnega žiga za podpisni blok na podlagi trenutnega datuma in ure. Na koncu blok podpisa s časovnim žigom povežete s programsko opremo. Zdaj lahko podpisan program objavite na svojem spletnem mestu za prenos.

Časovni žig je potreben za zagotovitev, da veljavnost kode ne poteče z obdobjem veljavnosti potrdila za podpisovanje kode. Če ima vaša koda časovni žig, bo digitalni podpis veljaven tudi po izteku veljavnosti potrdila. Novo potrdilo bo potrebno le, če boste želeli podpisati dodatno kodo. Če niste uporabili možnosti dodajanja časovnih žigov med postopkom podpisovanja aplikacije, boste morali kodo ponovno podpisati in jo poslati strankam.

V: Kako uporabljati potrdilo po nakupu?

O: To je odvisno od vrste potrdila. Navodila lahko najdete tukaj

V: Kaj se zgodi, če certifikatu za podpisovanje kod poteče veljavnost?

O: Potrdila za podpisovanje kod se izdajajo za obdobje od enega do treh let. Potek veljavnosti potrdila Code Signing pomeni, da ne morete ustvarjati novih podpisov. Vsi pretekli podpisi bodo delovali za določen časovni žig.

V primeru Microsoft Authenticode uporaba časovnih žigov pomeni, da veljavnost kode ne poteče, ko poteče veljavnost potrdila.

Če časovnih žigov ne uporabljate, boste morali ob izteku veljavnosti potrdila kodo ponovno podpisati in jo poslati strankam.

Ne smemo pozabiti, da nekatera potrdila ne podpirajo ustvarjanja časovnih žigov (na primer potrdila za Netscape Object Signing in Sun Java).

V: Kakšna je razlika med podpisovanjem kode in podpisovanjem dokumentov? Ali lahko podpišem datoteke PDF z običajnimi potrdili za podpisovanje kode?

O: Najpogosteje imajo potrdila za podpisovanje kode razširitev extKeyUsage z vrednostjo Code Signing in včasih tudi komercialno podpisovanje kode. Vendar pa nimajo vrednosti, ki bi omogočale druge uporabe.

RFC 5280 za razširitev Extended Key Usage pomeni, da "če je razširitev navedena, se mora potrdilo uporabljati samo za doseganje enega od ustreznih ciljev".

Vendar se v obravnavanem primeru potrdilo za podpisovanje kode uporablja za podpisovanje dokumenta, ki ni koda, kar je neposredna kršitev specifikacije X.509 Public Key Infrastructure Certificates.

Zaradi tega obstaja velika verjetnost, da bo program Adobe Reader zavrnil podpise PDF, ustvarjene z uporabo potrdila za podpisovanje kode. In tudi če zdaj ni težav s potrdili, ni zagotovljeno, da se to ne bo zgodilo v prihodnosti z izdajo novih različic programa Adobe Reader. Zato mnogi preprodajalci potrdil razlikujejo med potrdili za podpisovanje kode in potrdili za podpisovanje dokumentov (zlasti potrdil za podpisovanje PDF). Cene za potrdila PDF so pogosto nekajkrat višje.

V: Ali obstajajo razlike med potrdili za podpisovanje kode za Javo, Adobe AIR, Authenticode in VBS?

O: Kot je razvidno iz specifikacije RFC 5280, se lahko vsako potrdilo za podpisovanje kode uporabi za podpisovanje kode Java, kode AIR, Authenticode, VBS itd. V skladu s tem s tehničnega vidika ni razlik med potrdili za podpisovanje kode.

Vendar pa lahko nekateri certifikacijski organi uvedejo določene omejitve glede obsega svojih potrdil za podpisovanje kode.

V: Kako podpisati namestitvene datoteke Visual Studio .msi? Ko podpišem datoteko .msi, vse datoteke .exe, ki so vključene v namestitveni paket, izgubijo svoj podpis. Kaj je treba storiti, da se podpisi teh datotek ohranijo med namestitvijo paketa v odjemalčev računalnik?

O: Visual Studio ob sestavljanju ustvari dve mapi: obj in bin. Izhodne datoteke se najpogosteje kopirajo iz mape obj v mapo bin. Če podpišete datoteke v mapo bin, jih bodo pozneje prepisale datoteke iz mape obj. Izhod: podpisovanje exe datotek, ki se nahajajo v mapi obj. V tem primeru bodo podpisi vseh datotek exe ostali.

V: Ali obstajajo omejitve glede števila aplikacij, ki jih je mogoče podpisati s potrdilom za podpisovanje kod?

O: Ne. S potrdilom Code Signing lahko podpišete toliko aplikacij, kolikor jih potrebujete, če aplikacijo distribuira organizacija, za katero je bilo izdano potrdilo.

V: Ali lahko s potrdilom Code Signing podpišem gonilnike (v jedrnem načinu)?

O: Ne, od maja 2021 podpisovanje gonilnikov za Windows 8, 10 ni več podprto. Vir: Zastarelost potrdil izdajateljev programske opreme.

V: Kako obiti pametni zaslon pri nameščanju podpisane aplikacije v operacijskem sistemu Windows® 8/10/11?

O: Uporabiti morate potrdilo za podpisovanje kode EV. Programi, podpisani s Code Signing EV, so samodejno zaupanja vredni, tudi če za tega izdajatelja ali datoteko ni ugleda. Ugled lahko nastavite samo za potrdila Authenticode, ki jih je izdal certifikacijski organ, ki je član programa Windows® Root Certificate Program.

Pri nas lahko naročite naslednja potrdila EV:
Certum EV Code Signing in the Cloud

Sectigo(Comodo) EV Code Signing

Digicert EV Code Signing

V: Ali je ugled v SmartScreenu mogoč z uporabo standardnega potrdila Code Signing?

O: Da, možno je, vendar je za to potrebnih približno 3000 prenosov aplikacij (približni podatki).

V: Ali lahko z vašimi izdelki za podpisovanje kod podpišem programsko opremo za Mac?

O: Ne, preverite https://developer.apple.com/support/code-signing/.

V: Datoteke PFX niso več na voljo za potrdila Code Signing. Katere so druge možnosti?

O: Od 1. 6. 2023 datoteke PFX niso več na voljo za potrdila Code Signing.

Sodobni standardi zahtevajo, da se zasebni ključi za potrdila za podpisovanje kode generirajo in shranjujejo v varnih okoljih.

To običajno pomeni uporabo strojnih naprav, kot so HSM, pametne kartice ali varni žetoni USB.

Ustvarjanje zasebnih ključev v teh napravah zagotavlja, da ključa ni mogoče izvleči ali izvoziti, kar preprečuje izdajo potrdil v obliki PFX.

Sectigo zdaj ponuja svoja potrdila na žetonih USB:

https://www.leaderssl.com/suppliers/comodo/products/code_signing.

https://www.leaderssl.com/suppliers/comodo/products/code_signing_ev

Kot alternativo zdaj ponujamo potrdila podjetja Certum:

https://www.leaderssl.com/suppliers/certum/products/code_signing_ev.

https://www.leaderssl.com/suppliers/certum/products/code_signing

Ti se imenujejo"v oblaku".

Uporabiti boste morali posebno namizno aplikacijo in se podpisati prek orodja signtool.