GlobalSign Blog

08 Dez 2014

Neu: EV Zertifikate zur Zwei-Faktor Authentifizierung für Code Signing

Einzelne Faktoren für die Authentifizierung (z.B. Benutzername/Passwörter) haben sich immer wieder als unzuverlässig erwiesen. Das Hinzufügen eines zweiten Faktors kann die Gefahr von Missbrauch (im Falle von Benutzerauthentifizierung) oder betrügerischer Verwendung (im Fall von digitalen Signaturen für Dokumente und Code) deutlich verringern.

Die Zwei-Faktor-Authentifizierung findet für die Benutzerauthentifizierung immer mehr Anklang und viele Unternehmen haben damit begonnen, diese direkt in ihre Anwendungen und Programme einzubauen, um die Einführung zu fördern (z.B. MicrosoftTwitterGoogle). Deshalb freuen wir uns bekannt zu geben, dass wir das optimale Verfahren in Form von EV Code Signing Zertifikaten jetzt auch für die Entwickler-Community eingeführt haben.

EV Code Signing - Standardmäßige Zwei-Faktor-Authentifizierung

Bei Standard Code Signing-Zertifikaten wird der private Schlüssel in der Regel lokal im Zertifikatspeicher Ihres Systems gespeichert. Wie vom CA/Browser Forum bestimmt, müssen EV Code Signing-Zertifikate auf einem passwortgeschützten USB-Token gespeichert werden. Hier kommt die Zwei-Faktor-Authentifizierung (2FA) ins Spiel - Sie benötigen sowohl den Token (etwas, das Sie haben) und das Passwort (etwas, das Sie kennen), bevor Sie die Signatur anbringen können. Dies macht es bösartigen Parteien viel schwieriger legitimen Entwicklern Signatur-Berechtigungsnachweise zu stehlen und diese zur Verbreitung von Malware zu verwenden.

Sicher, es hintert Sie nichts daran Ihr Standard Code Signing-Zertifikat zum zusätzlichen Schutz auf einem USB-Stick zu speichern. Aber wie wahrscheinlich machen Sie dies tatsächlich? Und würden Sie noch einen Schritt weiter gehen, es mit einem Passwort zu schützen? EV Code Signing nimmt dem Benutzer die Verantwortung ab und baut sie von Anfang an in den Prozess ein. Aus diesem Grund sind wir so begeistert - es wird nicht den Benutzern überlassen, zu bestimmen, ob sie eine zweite Sicherheitsebene hinzufügen sollten. Es wird für sie von Anfang an automatisch getan.

Andere neue Features von EV Code Signing

Während wir über den Aspekt der 2FA am meisten begeistert sind, wollen wir natürlich die anderen Sicherheits-Upgrades auch erwähnen, die EV Code Signing umfasst.

Erweiterte Identitätsprüfung

Das Antragsverfahren für EV ist gründlicher als das für Standard Code Signing-Zertifikate. Es umfasst die Überprüfung zusätzlicher Informationen, wie die physikalische Adresse des Entwicklers und die Art des Unternehmens. Je mehr Informationen überprüft werden müssen, desto schwieriger ist es für einen Malware-Verteiler ein Zertifikat im Namen eines legitimen Herausgebers nachzuahmen und zu erhalten.

Sofortige Zuverlässigkeit bei Microsoft Smartscreen

Der in Windows 8 und Internet Explorer 9.0 eingeführte Microsoft SmartScreen Filter verwendet Informationen über die Zuverlässigkeit einer Anwendung, um Endnutzer zu warnen, wenn eine Anwendung unbekannt ist und bösartig sein könnte. Durch das Signieren einer Anwendung mit einem EV Code Signing-Zertifikat wird sofortige Zuverlässigkeit bestätigt. Dies bedeutet, dass Benutzern keine abschreckende Warnmeldungen präsentiert werden, wenn sie das Installationsprogramm Ihrer Anwendung starten.

Ressourcen für EV Code Signing

Wir haben unseren Code Signing-Support erweitert: zu den bereits bestehenden Informationen über SDKs, Zwischenzertifikate und schrittweise Anleitungen für die Anbringung einer digitalen Signatur je nach Entwicklerplattform, gibt es jetzt auch Hilfestellungen zu EV Code Signing.

Im Vergleich zum Standard Code Signing sind die Schritte zur Verwendung eines EV Code Signing-Zertifikats für Java und Windows 7 und 8 geringfügig anders. Hilfe finden Sie in unseren neuen EV-spezifischen Leitfäden:

Windows 7 und 8 - https://support.globalsign.com/customer/portal/articles/1698751-ev-code-signing-for-windows-7-and-8

Java - https://support.globalsign.com/customer/portal/articles/1702232-ev-codesigning-in-java

Anleitungen für die anderen Plattformen finden Sie auf unserer Support-Site - support.globalsign.com.

Kostenloses eBook Eine Einfuhrung in Code Siging

Artikel teilen