Was ist ein Code Signing Zertifikat?

Was ist ein Code Signing Zertifikat?


Ein Code Signing Zertifikat ist ein digitales Zertifikat, das Details über die Identität einer Einheit gibt und von einer Zertifizierungsstelle wie z.B. GlobalSign ausgestellt wurde. Das digitale Zertifikat bindet die Identität einer Person oder einer Abteilung an einen öffentlichen Schlüssel, der mathematisch mit einem privaten Schlüssel verwandt ist. Die Nutzung von einem öffentlichen und privaten Schlüssel nennt man Public Key Infrastructure (PKI). Der Entwickler signiert den Code mit seinem privaten Schlüssel und der Endnutzer nutzt den öffentlichen Schlüssel des Entwicklers, um dessen Identität zu bestätigen.

Code mit einem Code Signing Zertifikat signieren

Das digitale Zertifikat ist speziell zum Signieren von Code entwickelt worden, in PKI nennt man das Key Usage.

Wenn eine digitale Signatur angebracht wird, wird zusätzlich ein Zeitstempel hinzugefügt. Dieser Zeitstempel stellt sicher, dass der signierte Code auch dann noch gültig ist, wenn das digitale Zertifikat selbst schon abgelaufen ist. Solange Sie also keine Änderungen am Code vornehmen oder neuen Code hinzufügen, müssen Sie keine neue Signatur anbringen - sogar wenn das digitale Zertifikat, das genutzt wurde, seitdem abgelaufen ist.

Mit Code Signing beweisen Sie

Ursprung des Inhalts:
Code Signing zeigt, dass die Software oder Anwendung auch wirklich von der angebenen Quelle stammt (z.B. von einem Entwickler oder Herausgeber). Beim Download der Software über das Internet zeigen Browser Warnungen an, falls ein Herausgeber nicht bekannt ist. Mit Code Signing werden Sicherheitswarnungen wie "Unknown Publisher" nicht angezeigt und der Herausgeber wird deutlich angezeigt (z.B. Unternehmensname oder Name des Entwicklers).

Unversehrtheit des Inhalts:

Code Signing stellt sicher, dass der signierte Code nicht nachträglich geändert wurde und zeigt ob der Code für einen bestimmten Zweck geeignet ist. Falls die Anwendung/ Software nachträglich verändert wurde wird eine ungültige Signaturwarnung angezeigt. Code signieren ist daher vorteilhaft für Nutzer die Anwendungen herunterladen wollen, und hat Vorteile für die Herausgeber. Nutzer bekommen eine Bestätigung, dass Sie wirklich den Code von einem bestimmten Herausgeber herunterladen und können dadurch entscheiden, ob Sie der Quelle vertrauen. Herausgeber können Ihren Name oder Ihre Marke vermerken und die Software von ungewollten Änderungen schützen.