什么是代码签名？

什么是代码签名？

代码签名是一种安全流程，它使用基于公钥基础设施（PKI）的数字证书验证软件发布者的身份，确保软件发布后未被篡改。开发者通过对应用程序、可执行文件和脚本进行数字签名，可让操作系统和用户在安装或运行软件前，确认其来自受信任的来源。

作为公钥基础设施（PKI）框架的组成部分，受信任的证书颁发机构（CA）会验证发布者的身份并签发代码签名证书。数字签名数字签名的生成方式为：计算软件的密码学哈希值（即唯一指纹），再使用发布者的私钥对该哈希值进行加密。当用户下载或启动软件时，证书中对应的公钥可让系统验证发布者身份真实，且代码保持完整、未被修改。

什么是代码签名证书

代码签名证书是由 CA 签发的数字证书，可供开发者和组织在代码签名流程中对软件进行数字签名。该证书基于X.509 证书标准，将经过验证的发布者身份与用于创建、验证数字签名的密码学密钥对绑定。

在签发证书前，CA 会验证软件发布者或组织的身份。证书签发后，开发者可使用它对应用程序、可执行文件、脚本和软件更新进行签名，方便操作系统验证软件的来源与完整性。

使用受信任的代码签名证书签名的应用程序，有助于减少安全警告、提升用户信心，并防范恶意软件分发和软件供应链篡改风险。

代码签名的工作原理

代码签名流程包含一系列步骤，可将软件转换为经过安全签名、可验证的软件包：

1. 代码转换为数字指纹——在分发前，对软件应用密码学哈希函数，生成唯一的数字指纹。该指纹代表签名时软件包的精确内容。
2. 使用发布者的私钥加密指纹——开发者使用自己的私钥加密该指纹，生成加密后的数字指纹。
3. 签名时会添加时间戳——可信时间戳会记录软件的签名时间，凭借该时间戳，即便后续代码签名证书过期，签名仍可保持有效。
4. 会生成签名块——将加密后的指纹与企业的代码签名证书、签名过程使用的哈希信息相结合，这些组件共同构成数字签名，通常也被称为签名块。
5. 将数字签名附加到软件上——签名块会直接附加到应用程序或可执行文件中，为软件的安全发布或分发做好准备。
6. 操作系统会对已签名软件进行验证——当用户下载或安装软件时，操作系统会检查数字签名，确认其来自已验证的发布者，且未被篡改。如果签名不可信，系统可能弹出警告，或直接阻止安装。

不同类型的证书

代码签名证书主要分为两类，两类均由Sectigo 提供：

• 标准证书 由颁发证书的证书颁发机构（CA）对申请者及其所属组织进行基础验证。密钥通常存储在软件或文件系统中，提供基础级别的保护，可满足多数软件分发场景的需求。
• 扩展验证（EV）代码签名证书 在颁发前需要证书颁发机构（CA）执行更深入的审核流程。更严格的申请要求旨在阻止欺诈组织获取EV证书。为进一步防范证书滥用，EV签名密钥必须存储在安全硬件环境中。EV代码签名证书遵循与EV SSL/TLS证书类似的安全原则。佐治亚理工学院网络取证创新实验室的研究显示，EV SSL证书的颁发和使用可使遭遇钓鱼攻击和滥用的概率降低99.99%。该研究由Sectigo赞助，可在此处下载.

代码签名为何重要？

现代操作系统会在允许安装或执行软件前对其进行验证。如果软件未签名，或由不受信任的发布者颁发，用户可能看到安全警告，提示该软件无法验证。尽管部分场景下仍可完成安装，但这类警告通常会降低用户信任度，导致用户放弃下载。

代码签名证书可帮助解决这一问题：操作系统可通过它确认软件来自已验证的发布者，且自发布后未被修改。这能在开发者与最终用户之间建立信任，同时帮助企业提升安装率、维护自身声誉。

代码签名在开发和发布全流程的软件防护中也发挥着重要作用。企业通常使用安全保险库或硬件安全模块（HSM）保护签名密钥，防止未授权访问，降低构建版本被攻陷或恶意代码注入的风险。

使用场景

代码签名被广泛用于保护现代平台的软件分发流程。操作系统和应用市场依赖数字签名验证更新包、可下载应用来自合法发布者，且发布后未被篡改。

这一点在用户可能不会直接批准安装的环境中尤为重要，这类环境包括接收自动软件更新的物联网设备、嵌入式系统和智能技术设备。在这些场景下，代码签名有助于确保只有受信任的软件才能被安装或执行。

DevOps 环境中的代码签名

代码签名在现代软件开发流水线中也发挥着重要作用。开发者在分发软件前对其进行数字签名，让下载已签名32位或64位程序的最终用户可以确认代码来自该开发者，且自签名后未被篡改。

随着发布周期不断缩短，手动验证步骤、硬件要求以及相互脱节的签名工作流会拖慢部署速度，给开发流水线带来阻碍。现代 DevOps 环境要求代码签名流程能够直接集成到自动化构建与发布工作流中，不会延误软件交付。

为适配这一转变，证书生命周期管理与签名流程正越来越多地与各类自动化标准集成，例如自动化证书管理环境（ACME），以降低运营开销。诸如Sectigo Certificate Manager 这类平台，可帮助企业将安全代码签名能力融入基于现代基础设施常用工具的 DevOps 工作流中，相关工具包括 Kubernetes、Chef、Ansible、Salt Stack、Terraform、Puppet、Istio 和 Docker。这使得开发团队在保持发布速度与可扩展性的同时，能够维持强有力的软件完整性保护。

开发者是否需要使用代码签名证书？

简而言之，需要。代码签名证书是在所有主流编程环境下保障软件完整性的必要组成部分。未使用代码签名证书的开发机构往往会发现其用户遇到操作系统报错和安全警告，轻则导致用户体验不佳，重则使用户对应用程序完全失去信任。

通过代码签名交付受信任的软件

代码签名可帮助企业保护软件完整性，减少操作系统安全警告，并确保应用程序被识别为来自已验证的发布者。

借助Sectigo Code Signing certificates，团队可以提升安装环节的信任度、简化签名工作流，保护每一个构建版本免遭未经授权的篡改，同时保持快速发布节奏，维持较高的用户信任度。