Code Signing. Digitale Signaturen für Code.

Es werden zwei Arten von Code Signing-Zertifikaten von offiziellen Zertifizierungsstellen angeboten:

• Code Signing-Zertifikate Organization Validated (OV)
• Code Signing-Zertifikate Extended Validated (EV)

In AutoDNS können beide Varianten bestellt und direkt verwaltet werden. 

Den finalen Preis für ein Code Signing-Zertifikat bestimmen Faktoren wie:

• Provider
• Laufzeit (12, 24 oder 36 Monate)
• Validierungsart (OV oder EV)  

Sie finden alle aktuellen Code Signing-Zertifikate mit ihren jeweiligen Preisen in AutoDNS unter > Security oder in der > Benutzerverwaltung unter > Preisübersicht.

An jedes Code Signing-Zertifikat ist eine Identitätsprüfung geknüpft. Alle, die eine Zugehörigkeit zu einer sogenannten "juristischen Person" (einem eingetragenen Unternehmen) nachweisen können oder als anerkannter Herausgeber gelten, können Code Signing-Zertifikate erwerben, sofern sie alle "Validierungsanforderungen" erfüllen.

Die Auslieferung von Code Signing-Zertifikaten ist abhängig von der ausstellenden Certificate Authority.

• DigiCert liefert die Zertifikate auf einem Hardware Token – optional auf einem kostenpflichtigen Digicert Token oder auf einem eigenen geeigneten Hardware Token.
• Sectigo liefert die Zertifikate auf einem Hardware Token – optional auf einem kostenpflichtigen Sectigo Token oder auf einem eigenen geeigneten Hardware Token. Der Token muss nachweislich von einem bestimmten Hersteller stammen.
• GlobalSign verschickt einmalig kostenfrei einen Hardware Token, der im Grundpreis enthalten ist. Eine Abbestellung dieses Hardware Tokens ist nicht möglich.

Ggf. können Zollgebühren beim Versand des Tokens anfallen

Verschiedene Anwendungsplattformen unterstützen das Signieren von Code und Dateien und bieten dazu verschiedene Werkzeuge und Lösungen an.

Anbei finden Sie eine Liste der gängigsten Code Signing-Typen bzw. Anwendungen, sowie weitere hilfreiche Informationen und Anleitungen.

• Adobe Air
• Apple OS X
• Java
• Microsoft Authenticode Dateien im 32-Bit- und 64-Bit-Benutzermodus ..cab, .cat, . ctl., exe, .dll, .ocx, .msi, .xpi und .xap.
• Code für Microsoft Office
• Windows Makro und Visual Basic
• Mozilla & Netscape Objects


•  

How-to 

• Digitales Signieren einer AIR-Datei
• Code Signing Guide Apple
• Java Code Signing Guide (DigiCert)
• Steps for the Code Signer (Oracle)
• How to Sign Applets Using RSA-Signed Certificates(Oracle)
• XPI Signing
• Code Signing für VBA und Macros (GlobalSign) 
• Signing and Checking Code with Authenticode
• Code Signing Best Practises for the Microsoft Windows family of operating systems

Ja, in der Regel schon. Die Warnmeldung "Diese Datei kann Ihrem Computer schaden" wird häufig von einer Microsoft-Software namens SmartScreen erzeugt, die die Reputation einer Datei bzw. Software prüft. Ein Code Signing-Zertifikat unterstützt SmartScreen bei der Erkennung, ob Dateien bzw. Anwendungen als authentifiziert und sicher gelten. Eine Garantie kann allerdings nicht für alle Anwendungsfälle gegeben werden. 

Code Signing-Zertifikate, die von öffentlichen und unabhängigen Certificate Authorities (CAs) ausgestellt werden, erzeugen digitale Signaturen, die von allen gängigen Betriebssystemen und Anwendungsplattformen weltweit anerkannt und als vertrauenswürdig eingestuft werden. 

CAs wie DigiCert, GlobalSign oder auch Sectigo unterliegen dabei strengen Standards für die Ausstellung von Zertifikaten und müssen sich regelmäßigen Audits unterziehen, um die Kompatibilität mit Betriebssystemen oder Anwendungen wie etwa von Microsoft, Apple, Google oder Mozilla gewährleisten zu können.

Bei signiertem Code prüfen Betriebssysteme und Anwendungen, die ausstellende CAs und den Hash des für die Signatur verwendeten Zertifikats. Wenn die Zertifizierungsstelle nicht in deren „Vertrauensliste“ (Stammspeicher) enthalten oder der Hash nicht deckungsgleich ist, wird der Signatur nicht vertraut und die Überprüfung schlägt fehl.

Beim Private Code Signing findet keine "Versiegelung" durch eine dritte und unabhängige Partei statt. Daher empfehlen wir bei der Veröffentlichung und Online-Distribution von Software öffentliche vertrauenswürdige Code-Signing-Zertifikate zu erwerben, um Software-Anwendungen für User als sicher zu labeln. 

Jede Code-Signatur wird auf Grundlage des Inhalts der zu signierenden Datei erzeugt. Dazu berechnet ein Signaturwerkzeug eine komprimierte Version der Datei –  den Hash – und signiert diesen unter Verwendung des bereitgestellten digitalen Code Signing-Zertifikats. Der signierte Hash wird dann in die Datei an der Stelle eingebettet, die für digitale Signaturen vorgesehen ist.

Sobald die Distribution der signierten Datei bzw. Anwendung oder Software anläuft, erkennen alle gängigen Betriebssysteme sowie die entsprechenden Anwendungen, die digitalen Signatur der Datei. Dazu berechnen sie automatisch einen Hash der Datei (ohne dabei den signierten Hash in die Berechnung einzubeziehen) und vergleichen das Ergebnis mit dem in der Datei eingebetteten signierten Hash. Sind beide identisch, ist die Überprüfung erfolgreich und die Echtheit gilt als verifiziert. Wenn sich der berechnete Hash von dem signierten Hash unterscheidet, schlägt die Überprüfung fehl. Eine fehlgeschlagene Überprüfung bedeutet, dass der Inhalt der Datei nach der Durchführung der digitalen Signierung  nochmal geändert wurde (aufgrund eines Fehlers oder durch böswillige Absicht).

Die Zuverlässigkeit dieses Mechanismus hängt von der Stärke des Algorithmus ab, der zur Berechnung des Hash verwendet wird – je länger der Hash, desto besser. Einer der derzeit verwendeten Standards ist SHA-256, ein Algorithmus, der 256-Bit-Hashes erzeugt.