Code Signing centrum - applikációk aláírásának támogatása
A Code Signing tanúsítványok ügyfél támogatási centruma (tanúsítványok kódok és applikációk aláírására). Az alább megtalál minden releváns információt a a kódok aláírásáról és a Code Signing tanúsítványok használatáról.
Code signing tanúsítványok
A kódok aláírására szolgáló tanúsítványok (Code signing) különböző fejlesztői platformokon létrehozott applikációk aláírására szolgálnak. A kódok aláírásának célja nem csak a kiadó azonosítása, hanem elsősorban az applikáció eredetének és változatlanságának védelme. Amennyiben valaki megváltoztatná az applikációt (például káros malware-t adna hozzá), az aláírás érvénytelenné válik. Ezért a legtöbb jelenlegi rendszer az aláírást igényli (MacOS), vagy a nem aláírt applikáció indítása előtt kiemelt figyelmeztetéssel riaszt (Windows).
Code signing EV tanúsítvány
A kód aláíró tanúsítványok közt is ajánlatunkban szerepel kiterjesztett hitelesítésű. Előnyei és aktivilásához szükséges lépéseket megtalálja az alábbi bejegyzésekben.
Code signing EV tanúsítvány jelentősége
Jelentősége a tanúsítvány és a privát kulcs jobb biztonságossá tétele. A tanúsítvány a privát kulccsal együtt tokenra van lementve, ahonnan nem lehetséges azt exportálni. A tanúsítvány használata jelszóval van védve, és annak többszörös rossz megadása után a token törlődik. Ez egy kitűnő védelem, amivel megakadályozható a code signing tanúsítványával való visszaélés.
További információkat a kínálatunkban szereplő Code Signing tanúsítványokról olvashat a termékek oldalán: DigiCert Code Signing EV.
Hogyan aktiválható a Code Signing EV tanúsítvány
A Code Signing EV tanúsítványok aktiválásának egész folyamatának leírását megtalálja a Code Signing EV tanúsítvány üzembe helyezése (aktiválása) oldalunkon.
Hogyan írható alá az applikáció
A Code Signing applikációk aláírásához két dolog szükséges:
- Code Signing tanúsítvány
- Aláíró applikáció
A Code Signing tanúsítványt az SSLmarkettől szerezheti be, ami egyszerű. Az aláíró applikációt a fejlesztési platform alapján választja ki. A legnépszerűbb és legelterjedtebb aláíró eszközök, amelyeket a súgónkban leírtunk és tanácsot adhatunk hozzájuk:
- Signtool a Windows SDK-ból (útmutató)
- Jarsigner (lásd blog cikket)
- Az smctl segédprogram a DigiCert-től - a KeyLocker-hez ajánljuk (útmutató). Használhat pl. signtool-t és egyszerűsítheti az aláírást.
Ügyfeleink nagy része az MS Windows környezetben fejleszt és a Windows SDK-t használja Az aláírás itt a signtool.exe segítségével történik. A signtoolhoz tartozó dokumentációt megtalálja a Microsoft webhelyén az alábbi linken SignTool.exe (Sign Tool).
Aláírás felhő alapú HSM segítségével
A felhő HSM a Code Signing tanúsítvány biztonságos tárolására és távoli hozzáférésére szolgál. A tokenen lévő tanúsítvánnyal ellentétben lehetővé teszi az automatizálást és az aláírás nagyon gyors, mivel csak a fájl hash-ét küldik a felhőbe (ún. hash signing).
A hash-signing és a felhő használatával történő aláírást a tokennel szemben határozottan ajánljuk. Ez biztonságos, gyors és olcsó.
Ajánlott felhő HSM
- DigiCert KeyLocker
- DigiCert Software Trust Manager
- Azure Key Vault
- GCP Cloud KMS (Google)
- AWS CloudHSM
A következő bekezdésekben megtalálja az egyes megoldások előnyeit és hátrányait.
DigiCert KeyLocker
A tokenhez legolcsóbb alternatíva a KeyLocker. Ez egy egyszerű, egy felhasználós szolgáltatás, amely lehetővé teszi a kód könnyű aláírását. A DigiCert saját KSP és PKCS#11 könyvtárakat biztosít, amelyeket telepít a rendszerre és pontosan úgy írja alá a kódot, ahogyan megszokta. Az SMCTL segédprogramjukkal az aláírás még egyszerűbb és közvetlenebb, mint a signtool-lal. Az SMCTL kompatibilis a Code Signing legáltalánosabban használt eszközeivel és képes azokat meghívni. A KeyLocker 1000 aláírásos korláttal rendelkezik, ezért ritkább aláírásra alkalmas. Az aláírások száma azonban díj ellenében bővíthető.
DigiCert Software Trust Manager
Ez a csúcsminőségű felhő alapú megoldás a DigiCert ONE platformról, amelyet vállalati használatra terveztek. A tanúsítványok és felhasználók korlátlan számának kezelését kínálja és korlátlanul skálázható. A CI/CD platformmal való kapcsolat előkészített szkriptekkel és könyvtárakkal biztosított. A STM hozzáférés és az aláírások száma licenc-alapú. Az árra és a licencelés módjára vonatkozó további információkért forduljon hozzánk bizalommal. A dokumentációt a DigiCert weboldalán találja meg.
Azure és Google felhő HSM
Mindkét nagy felhőszolgáltató biztosít HSM szolgáltatást biztonságos távoli hozzáféréssel saját könyvtárain keresztül, amelyek KSP-ként működnek a Windowsban. Használatuk nem bonyolult és az áruk nagyon kedvező (csak a kripto-műveletekért kell fizetni). Az Azure-t és a GCP-t nagy éves aláírásmennyiséghez ajánljuk, mivel a költségek alacsonyak.
A kód Azure Key Vault segítségével történő aláírásának útmutatóját a Kód aláírása Azure Key Vault segítségével cikkben találja. A GCP Cloud KMS esetében pedig a Kód aláírása Google Cloud KMS segítségével cikkben.
AWS CloudHSM
Az Amazonnál is lehetséges a felhő használatával aláírni a Windows SDK Signtool-jával, de a beállított HSM óradíjas. A fix költségeken kívül a műveletekért (aláírásokért) is fizetni kell. Ha még nem használja az AWS-t, inkább az Azure vagy GCP HSM-et javasoljuk. További információk a Signtool használatáról a Use Microsoft SignTool with Client SDK 3 to sign files cikkben.
Azure Key Vault vs Google Cloud KMS vs AWS CloudHSM/KMS+HSM összehasonlítás
Mindhárom felhő HSM összehasonlítását az alábbi táblázatban találja. Az aláírási műveletek (hash signing) költségeire, a fix díjakra, a skálázásra, az alacsony kihasználtságra, az üzemeltetési komplexitásra és a késleltetésre/átviteli sebességre összpontosít.
| Faktor | Azure Key Vault | Google Cloud KMS | AWS CloudHSM / KMS + HSM |
|---|---|---|---|
| Műveletekért fizetendő díjak (sign/verify) | Nagyon alacsonyak (≈ $/10 000 művelet). | Nagyon alacsonyak (≈ $/10 000 művelet). | Nem meghatározó költség; a HSM fix díjai a fő tétel. |
| Fix költségek | Lehetséges havi díj HSM-kulcsonként; egyébként alacsonyak. | Nincsenek jelentős fix költségek az alap üzemmódban. | Magasak – órabéres HSM (24/7) vagy Custom Key Store. |
| Skálázás és kapacitás | Lineáris a tranzakciók szerint; throttling korlátozza. | Lineáris; figyeljen a kvótákra (QPS/QPM). | Skálázás HSM-ek hozzáadásával; a fix költség is nő. |
| Alacsony kihasználtságú költség | Kedvező — főleg a műveletekért fizet. | Kedvező — főleg a műveletekért fizet. | Kedvezőtlen — a HSM-ért terhelés nélkül is fizet. |
| Üzemeltetési komplexitás | Alacsony — menedzselt szolgáltatás. | Alacsony — menedzselt szolgáltatás. | Magasabb — HSM klaszter és HA/DR kezelése. |
GYIK - gyakran feltett kérdések
Nincs. A Code Signing nem domain-re, hanem konkrét szervezetre kerül kiállításra. A szervezet neve szerepel a Common name-ben.
A DigiCert Code Signing tanúsítvánnyal különféle szoftver- és szkripttípusokat lehet aláírni, hogy biztosított legyen: megbízható forrásból származnak és a kiadás után nem módosultak.
Mit lehet aláírni:
- Végrehajtható fájlok: .exe, .dll, .ocx, .msi, .cab
- Windows illesztőprogramok (WHLK/HLK)
- Java alkalmazások: .jar
- Makrók és VBA szkriptek a Microsoft Office-ban
- PowerShell szkriptek: .ps1
- macOS alkalmazások és csomagok (Apple Developer ID-n keresztül)
- Adobe AIR alkalmazások
- .NET alkalmazások és könyvtárak
- Szkriptek és telepítők különböző környezetekben
Mit nem lehet aláírni:
- Az eIDAS szerinti minősített elektronikus aláírást igénylő kód
- Fájlok, amelyek nem terjesztésre szolgálnak
- Formátumok és platformok, amelyek nem támogatják a digitális aláírást
Igen, az időbélyegzővel ellátott (timestampolt) kód érvényes marad a tanúsítvány lejárta után is. Ha az aláíráskor időbélyeget (timestamp) használ, a rendszer ellenőrzi, hogy a kódot a tanúsítvány érvényességi ideje alatt írták alá. Ennek köszönhetően az aláírás továbbra is megbízható. Timestamp használata nélkül a kódot új tanúsítvánnyal újra alá kell írni.
Lásd a Instructions for timestamping VBA code cikket a DigiCert.com webhelyén
Nincs, a tanúsítvánnyal végtelen számú alkalmazást írhat alá. Ha a Code Signing tanúsítvány tokenen van, korlátlanul aláírhat. Az aláírások száma csak a felhő szolgáltatásoknál számít:
- DigiCert KeyLocker - a tanúsítvány érvényességi ideje alatt 1000 aláírása van, továbbiakat vásárolhat.
- Software Trust Manager - az aláírások a szerződés időtartamára licencelve vannak.
A Code Signing tanúsítvánnyal való aláírás egyszerű és gyors. Az úgynevezett hash-based signing-ot használja, amikor a fájlból először hash kerül kiszámításra, amely azután aláírásra kerül a felhőbe küldve. Maga a fájl nem kerül átvitelre – az aláírásba csak az aláírt hash tér vissza. Ennek köszönhetően az egész folyamat biztonságos és hatékony.
Hash signing-ot a felhővel a következő termékeknél használhatja:
- DigiCert KeyLocker - további információk itt.
- Software Trust Manager - további információk itt.
- Alternatívaként a tanúsítvány elhelyezhető pl. az Azure Key Vault-ba; további információk az útmutatóban.
Segítség
Amennyiben bármilyen kérdése felmerül a tanúsítványok megrendelésével, kiállításával, telepítésével kapcsolatban, vagy bármilyen egyéb kérdése felmerül, úgy ne habozzon felvenni a kapcsolatot ügyfélszolgálatunkkal, amely kész megválaszolni kérdéseit, tanácsokkal és segítséggel szolgálhat. A tanúsítványok szakértői Symantec Web Security Sales Expert Plus rendelkezésére állnak minden munkanap.
A kapcsolatot felveheti velünk egyenest az ügyfélfiókjából autorizált kérelem küldésével.
Hasznos volt Önnek ez a cikk?
Köszönjük a visszajelzését a cikkel kapcsolatban.
Sajnáljuk, hogy nem kapott választ.
Segítene a cikk jobbá tételében? Írja meg nekünk mire nem kapott választ.