Популярни въпроси за сертификатите за подписване на код

В: За какво се използват сертификатите за подписване на код?

О: Сертификатите за подписване на код се препоръчват за използване от всички издатели, които разпространяват код или съдържание в интернет или в корпоративни мрежи. Клиентите разбират рисковете, свързани с изтеглянето на файлове онлайн, и затова се доверяват в много по-голяма степен на подписани файлове, отколкото на неподписани. Виждайки подписа на издателя, клиентът разбира, че файлът е автентичен и не съдържа зловреден софтуер. Подписът на издателя е надежден начин за защита на приложението от всякаква намеса на трети страни.

Въпрос: Какви документи са необходими за поръчване на сертификат за подписване на код?

О: Стандартните удостоверения за подписване на кодове се предлагат за индивидуални предприемачи и юридически лица.

В случая на Sectigo(Comodo) ще ви е необходимо:

• връзка към правителствена база данни с регистрацията на вашата фирма;
• данни за контакт: име, имейл, телефон, длъжност;
• изисква се сканиране на издаден от правителството документ за самоличност със снимка (като паспорт, шофьорска книжка и др.), за да се удостовери заявителят (контакт с администратора) на поръчката;
• селфи с издаден от правителството документ за самоличност със снимка [паспорт, шофьорска книжка] (трябва да съдържа снимка, име).
  Това са задължителни изисквания на Sectigo, повече подробности:
  https://sectigo.com/knowledge-base/detail/OV-Code-Signing-Validation-for-Organizations-and-Individuals/kA01N000000brb0
• за проверка на телефонния номер: връзка към онлайн указател с регистрацията на вашата компания(от kompass.com или DUNS номер).
  Този профил трябва да съдържа името на компанията, адреса и телефонния номер.

В случай на Digicert ще ви е необходимо: - да се регистрирате в системата за електронно банкиране:

• връзка към правителствена база данни с регистрацията на вашата компания;
• данни за контакт: име, електронна поща, телефон, длъжност;
• За потвърждаване на телефонния номер: регистрация на компанията в dnb.com/DUNS или държавна регистрация с телефонен номер.

В случай на Certum ще ви е необходимо:

• Регистрационен документ на организацията
• Упълномощаване/Пълномощно: Подписано в съответствие с начина на представителство, посочен в документа за регистрация. *Изисква се само ако лицето, което подава заявление за сертификат, не е упълномощено да представлява организацията самостоятелно.
• Фактура за комунални услуги (изисква се само за EV): Фактура за комунални услуги, издадена на името на организацията, която потвърждава настоящия адрес на седалището на дружеството (напр. фактура за газ, електроенергия, вода, стационарен телефон, фиксиран интернет, договор за наем или лизинг на офис пространство).

ЛидерТелеком не издава сертификати за подписване на код на физически лица.

Удостоверението Code Signing EV се предоставя само на юридически лица. Изискванията за издаването му са същите, но проверката е по-задълбочена (проверяват се държавни източници).

Въпрос: Как да подпиша код, като използвам сертификат за подписване на код?

О: За да подпишете код, трябва да го прекарате през специален алгоритъм за хеширане, след което да използвате частния си ключ, за да подпишете хеша, като по този начин получите цифров подпис. След това създавате блок за подписване, който съдържа цифровия подпис и сертификата за подписване на код. Инструменти като Authenticode ви позволяват да зададете времева марка за блока за подписване въз основа на текущата дата и час. Накрая свързвате блока за подпис с времевия печат със софтуера. Сега можете да публикувате подписаната програма на своя уебсайт за изтегляне.

Времевият печат е необходим, за да се гарантира, че валидността на кода не изтича с периода на валидност на сертификата за подписване на код. Ако кодът ви има времеви печат, тогава цифровият подпис ще бъде валиден дори след изтичане на срока на валидност на сертификата. Нов сертификат ще е необходим само ако искате да подпишете допълнителен код. Ако не сте използвали възможността за добавяне на времеви печати по време на процеса на подписване на приложението, ще трябва да подпишете кода отново и да го изпратите на клиентите си.

Въпрос: Как да използвате сертификата си, след като сте го закупили?

О: Това зависи от вида на сертификата. Можете да намерите инструкциите тук

В: Какво се случва, ако срокът на валидност на сертификата за подписване на код изтече?

О: Удостоверенията за подписване на код се издават за период от една до три години. Изтичането на валидността на сертификата за подписване на код означава, че не можете да създавате нови подписи. Всички предишни подписи ще работят за даден времеви печат.

В случая на Microsoft Authenticode използването на времеви печати означава, че кодът няма да изтече, когато изтече сертификатът.

Ако не се използват времеви печати, тогава, когато сертификатът изтече, ще трябва да подпишете кода отново и да го изпратите на клиентите си.

Струва си да запомните, че някои сертификати не поддържат създаването на времеви марки (например сертификатите за Netscape Object Signing и Sun Java).

Въпрос: Каква е разликата между подписването на код и подписването на документи? Мога ли да подписвам PDF файлове с обикновени сертификати за подписване на код?

О: Най-често сертификатите за подписване на код имат разширение extKeyUsage със стойност Code Signing, а понякога и търговско подписване на код. Те обаче нямат стойности, които да позволяват други употреби.

RFC 5280 за разширението Extended Key Usage предполага, че "ако разширението е посочено, то удостоверението трябва да се използва само за постигане на една от съответните цели".

Във въпросната ситуация обаче сертификатът за подписване на код се използва за подписване на документ, който не е код, което е пряко нарушение на спецификацията на сертификатите за инфраструктура на публичния ключ X.509.

По тази причина има голяма вероятност Adobe Reader да отхвърли PDF подписите, генерирани с помощта на сертификат за подписване на код. И дори ако сега няма проблеми със сертификатите, не е гарантирано, че това няма да се случи в бъдеще при пускането на нови версии на Adobe Reader. По тази причина много от търговците на сертификати правят разлика между сертификати за подписване на код и сертификати за подписване на документи (по-специално сертификати за подписване на PDF файлове). Цените на PDF-сертификатите често са няколко пъти по-високи.

Въпрос: Има ли някакви разлики между сертификатите за подписване на код за Java, Adobe AIR, Authenticode, VBS?

О: Както следва от спецификацията RFC 5280, всеки сертификат за подписване на код може да се използва за подписване на код в Java, AIR, Authenticode, VBS и т.н. Съответно от техническа гледна точка няма разлики между сертификатите за подписване на код.

Въпреки това някои удостоверяващи органи могат да наложат определени ограничения върху обхвата на своите удостоверения за подписване на код.

Въпрос: Как да подпиша инсталационните файлове на Visual Studio .msi? След като подпиша .msi, всички .exe файлове, включени в инсталационния пакет, губят своите подписи. Какво трябва да се направи, за да се гарантира, че подписите на тези файлове остават по време на инсталирането на пакета на компютъра на клиента?

О: Visual Studio създава две папки по време на компилирането: obj и bin. Изходните файлове най-често се копират от папката obj в папката bin. Ако подпишете файлове в папката bin, по-късно те ще бъдат презаписани от файлове от папката obj. Изходът: подписване на екзекутивни файлове, разположени в папката obj. В този случай подписите на всички exe файлове ще се запазят.

Въпрос: Има ли някакви ограничения за броя на приложенията, които могат да бъдат подписани с помощта на сертификат за подписване на код?

О: Не. Можете да подписвате колкото приложения ви трябват с помощта на сертификата Code Signing, при условие че приложението се разпространява от организацията, за която е издаден сертификатът.

Въпрос: Мога ли да подписвам драйвери (в ядрен режим), като използвам сертификат за подписване на код?

О: Не, от май 2021 г. подписването на драйвери за Windows 8, 10 вече не се поддържа. Източник: Отпадане на сертификатите за издаване на софтуер.

Въпрос: Как да заобиколим интелигентния екран при инсталиране на подписано приложение в Windows® 8/10/11?

О: Трябва да използвате сертификата EV Code Signing. Програмите, подписани с EV Code Signing, автоматично се ползват с доверие, дори ако няма репутация за този издател или файл. Можете да зададете репутация само за удостоверенията Authenticode, които са издадени от удостоверяващ орган, който е член на Програмата за коренови удостоверения на Windows®.

Можете да поръчате от нас следните EV сертификати:
Certum EV Code Signing in the Cloud

Sectigo(Comodo) EV Code Signing

Digicert EV Code Signing

Въпрос: Възможна ли е репутация в SmartScreen с помощта на стандартен сертификат за подписване на код?

О: Да, възможно е, но за това са необходими около 3000 изтегляния на приложения (приблизителни данни).

В: Мога ли да подписвам софтуер за Mac, като използвам вашите продукти за подписване на кодове?

О: Не, моля, проверете https://developer.apple.com/support/code-signing/

В: Файловете PFX вече не са налични за сертификатите Code Signing. Какви са другите възможности?

О: От 01.06.2023 г. PFX файловете вече не са налични за Code Signing сертификати.

Съвременните стандарти изискват частните ключове за удостоверенията за подписване на код да се генерират и съхраняват в защитени среди.

Това обикновено означава използване на хардуерни устройства като HSM, смарт карти или защитени USB токени.

Генерирането на частни ключове на тези устройства гарантира, че ключът не може да бъде извлечен или експортиран, като по този начин се предотвратява издаването на удостоверения във формат PFX.

Сега Sectigo предлага своите сертификати на USB токени:

https://www.leaderssl.com/suppliers/comodo/products/code_signing

https://www.leaderssl.com/suppliers/comodo/products/code_signing_ev

Като алтернатива сега предлагаме сертификати от Certum:

https://www.leaderssl.com/suppliers/certum/products/code_signing_ev

https://www.leaderssl.com/suppliers/certum/products/code_signing

Те се наричат"в облака".

Ще трябва да използвате специално десктоп приложение и да се подпишете чрез signtool.