了解代碼簽署最佳實務

代碼簽署的用途是用於驗證程式開發者的身份及來源，同時確認軟件自簽署後未遭竄改。

開發者為程式、應用程式、可執行檔或指令碼進行代碼簽署時，會附加一份數碼證書，用於核實自身身份以及軟件的完整性。代碼簽署證書採用公鑰密碼技術，該技術同樣應用於其他各類數碼證書。這種機制獲流動裝置、桌面到嵌入式系統等各類操作系統與平台支援。微軟 Windows、蘋果 Mac OS X、各 Linux 發行版以及 iOS、Android 系統均廣泛使用代碼簽署。

隨着網絡威脅愈來愈多針對軟件信任層面的漏洞，代碼簽署已成為抵禦竄改、惡意軟件傳播以及供應鏈攻擊的前線防禦手段。

因此，對於希望保障用戶安全、維持平台信任、確保軟件安全可靠交付的軟件發布者及開發機構而言，落實嚴格的代碼簽署實務至關重要。以下最佳實務有助應對代碼簽署安全最常見的風險：

• 透過代碼簽署證書保護您的代碼： 最重要的建議是盡可能使用代碼簽署證書。這類證書可向終端用戶驗證代碼的來源及真實性，提升客戶對自身安全保障的信心。透過正確為代碼簽署，您可借助 Sectigo 等可信公共證書頒發機構（CA）管理的信任體系，為您的應用程式或程式建立信任。如需更高安全性，您可使用擴展驗證（EV）代碼簽署證書，相比標準代碼簽署，這類證書提供更嚴格的身份驗證保障。
• 最小化密鑰存取權限：任何專業 IT 人員都會盡可能落實存取控制措施，包括限制對密鑰及根證書的存取。您應只允許極少數人員存取機構的密鑰，且這些人員必須具備明確的存取必要性。在機構內部建立基於角色的存取控制（RBAC）策略，有助縮小潛在的風險暴露面。
• 透過密碼硬件保護密鑰：使用密碼硬件可借助最新的加密算法保護您的密鑰。這類硬件至少應為 FIPS 140 二級認證產品。硬件安全模塊（HSM）等產品可防止您的密鑰落入惡意攻擊者手中。
• 為程式加上時間戳： 為程式加上時間戳可確保軟件在簽名證書到期後仍然受信任，因為時間戳能夠證明代碼是在證書有效期內完成簽署的。
• 測試簽署與正式發布簽署的差異： 如前所述，分辨並理解測試簽署與正式發布簽署所用密鑰/證書的差異非常重要。測試簽署證書和密鑰的安全要求較低，可由內部私有證書頒發機構（CA）自簽。同時，測試簽署證書必須連結到與已發布簽署產品不同的根證書。最佳做法是為正式發布簽署和預發布簽署建立完全獨立的代碼簽署基礎設施，這樣你就可以為測試環境和生產代碼分別配置合適的存取控制措施。
• 校驗代碼：代碼簽署本身並不能直接證明代碼是安全的，它僅能標識代碼的發布者身份。因此，代碼在公開發布前仍需完成全面的身份核實與內容校驗，避免意外傳播可能損害客戶、破壞品牌聲譽的錯誤或惡意代碼。所有代碼簽署活動的校驗記錄都應留存歸檔，以備後續調查或事件回應之用。
• 簽署前掃描代碼中的惡意軟件或病毒： 除確認代碼未被篡改外，掃描當中的病毒或其他惡意代碼也十分重要。開發者重用或引入外部項目的現有代碼時，可能會在無意中帶入惡意代碼。在代碼發布前發現並修復問題的成本要低得多。
• 限制密鑰的重複使用： 重複使用私鑰為多份代碼簽署會提升安全風險。一旦某個密鑰洩露，所有使用該密鑰在對應日期簽署的代碼都將失效，需要透過新的代碼簽署證書重新簽署。養成輪換密鑰和證書的習慣可以分散風險，降低證書重簽時的工作量與影響範圍。
• 吊銷已洩露的證書： 證書吊銷是保障代碼安全的最重要任務之一。開發機構有責任向其證書頒發機構（CA）報告所有已洩露的代碼、密鑰或證書，以便CA採取相應措施。一旦出現任何潛在問題，CA會要求對該代碼簽名證書進行吊銷。如果你為代碼加上了時間戳，那麼只有吊銷日期在安全事件發生之後的代碼才會受到影響。

• 監控並審計簽署活動：如果缺乏可見性，濫用行為可能在造成損害前都無法被發現。你需要維護詳細的代碼簽署事件、存取記錄、審批流程和時間戳日誌。定期開展日誌審計有助於偵測異常活動，為調查工作提供支援。

• 維持最新的制度與培訓體系： 不同團隊間不一致的實踐會削弱整體安全性。應當透過正式的制度明確密鑰管理、工作流程、審批規則、自動化標準和事件處置流程。隨着威脅形勢的演變，持續開展培訓可確保各團隊的操作始終符合規範要求。

如何實施代碼簽署？

實施代碼簽署需要一對唯一的加密密鑰對，當中包含需嚴格保密的私鑰，以及可公開分發的公鑰。二者共同構成了公鑰加密技術的基礎，支援在不暴露私鑰的前提下完成軟件簽署。

生成新的密鑰對後，借助公鑰基礎設施（PKI）公鑰會作為證書簽名請求（CSR）的一部分發送給證書頒發機構（CA）。CA會驗證開發者或機構的身份，然後頒發代碼簽署證書。

開發者獲取證書後，必須對軟件代碼進行哈希運算。哈希是指使用哈希函數將代碼轉換為任意固定長度值的過程。哈希運算的輸出結果稱為摘要，隨後會使用私鑰對摘要進行加密。接下來，開發者將該摘要、代碼簽署證書與哈希函數組合，生成名為簽名塊的內容——本質上是將上述所有元素整合為一段代碼，可方便地嵌入軟件中。

保護的重要性

代碼簽署最大的風險點在於證書關聯的私有代碼簽署密鑰的保護。如果密鑰洩露，證書將失去信任度與價值，危及已簽署的軟件。

許多機構使用安全保險庫和硬件安全模塊（HSM）來提升私鑰的安全防護等級。還有部分機構採用專門的證書管理平台，對所有代碼簽署證書的生命週期管理進行自動化加固，典型產品如Sectigo Certificate Manager。使用證書管理器可有效提升私鑰及其他加密資產的完整性保障水平。

程式碼簽署可防範哪些風險？

簡言之，程式碼簽署有助於防範惡意軟件防止惡意軟件及其他惡意程式碼偽裝成無害檔案或Windows更新等正常內容，植入終端用戶的系統。其運作原理是讓用戶可驗證下載的檔案確實來自原始發布方，而非惡意攻擊者。這強化了系統內的信任機制，讓開發者可向軟件下載者保證來源可靠、安全。

EV程式碼簽署證書可提供額外安全保障。這類數碼證書要求密鑰必須儲存於符合FIPS 140-2或更高標準的高保障硬件中。符合要求的USB令牌可透過PIN碼新增一層防護，你也可選擇將密鑰儲存於機構本地部署的HSM內。

喬治亞理工學院網絡鑑證創新實驗室的研究顯示，頒發及使用擴展驗證（EV）SSL/TLS證書，可讓網站抵禦釣魚攻擊及被濫用的比率達99.99%。該白皮書由Sectigo贊助，可於此處下載.

使用Sectigo可信程式碼簽署方案保障你的軟件安全

遵循這些程式碼簽署最佳實務，可大幅降低未經授權的軟件分發、安裝時出現安全警告及用戶信任流失的風險，同時提升軟件安裝率，讓軟件更順利獲用戶採用。

由受信任的證書頒發機構發出的證書，會獲作業系統及安全平台廣泛認可。Sectigo是全球領先的證書頒發機構，提供快速、靈活的程式碼簽署解決方案。我們的程式碼簽署證書可協助發布方建立信任，保護用戶免受被篡改的程式碼侵害，同時加快軟件發布流程。了解Sectigo提供的各類程式碼簽署證書，或聯絡我們的如需查詢更多資訊，請聯絡專家團隊.