Что такое сертификат подписи кода? Для чего он нужен? Как его получить?

В эпоху цифровой экономики программное обеспечение стало неотъемлемой частью повседневной жизни и деловой активности. Однако с распространением кибератак и вредоносных программ как пользователи могут доверять скачиваемому ПО? Как разработчики могут доказать, что их программное обеспечение имеет надёжный источник и не было изменено после публикации? Сертификат подписи кода (Code Signing Certificate) является ключевым инструментом для этого. Так что же такое сертификат подписи кода? Для чего это нужно? Как подать заявку? В этой статье будет дан всесторонний разбор.

1. Что такое сертификат подписи кода?

Сертификат подписи кода (Code Signing Certificate) — это цифровой сертификат, предоставляемый разработчикам программного обеспечения для цифровой подписи разрабатываемых ими исполняемых скриптов, программного кода и контента. Сертификат подписи кода используется для проверки подлинности личности разработчика и защиты целостности кода. Когда пользователь загружает программное обеспечение, цифровая подпись позволяет проверить, что источник программы надёжен, а также убедиться, что программа и код не были незаконно изменены или заражены вирусом. Это защищает пользователей от вирусов, вредоносного кода и шпионского ПО, а также оберегает интересы разработчиков, позволяя программам быстро и безопасно распространяться в интернете.

Сертификатом подписи кода можно подписывать файлы различных типов, например исполняемые файлы, приложения и плагины, Java, макросы MS Office и VBA, объектные файлы Mozilla, а также приложения Microsoft Silverlight. В основном это, помимо прочего, следующие форматы файлов: .exe, .dll, .cab, .ocx, .msi, .xpi.

Типы сертификатов подписи кода

• Обычный сертификат подписи кода (OV-сертификат подписи кода): требуется проверка по телефону и проверка информации о компании. Проверка обычно занимает 1–3 рабочих дня. Сертификат доставляется в виде UKEY.
• EV-сертификат подписи кода (сертификат подписи кода с расширенной проверкой): требуется не только проверка по телефону и проверка информации о компании, но и заполнение соглашения о заявке на сертификат и окончательная проверка. Проверка обычно занимает 1–5 рабочих дней. Сертификат доставляется в виде UKEY. Отличие от OV-сертификата подписи кода в том, что EV-сертификат подписи кода позволяет сразу получить репутацию SmartScreen, поддерживает подпись файлов драйверов ядра Windows 11, а также поддерживает регистрацию учётной записи Azure AD для аккаунта сертификации логотипа WHQL.

2. Для чего нужен сертификат подписи кода?

1. Подтверждение реальной личности разработчика — сертификат подписи кода выдаётся доверенным удостоверяющим центром (CA) после строгой проверки реальной личности разработчика. После цифровой подписи программного обеспечения с помощью сертификата подписи кода можно увидеть информацию о личности разработчика, что гарантирует, что программа получена от надёжной компании.

2. Защита кода от подделки — сертификат подписи кода использует цифровую подпись и технологии открытого и закрытого ключей, чтобы предотвратить злонамеренное изменение кода и гарантировать, что загружаемое пользователем программное обеспечение является исходным и не изменялось. Если опубликованное программное обеспечение было изменено, система предупредит об угрозе безопасности при установке.

3. Устранение предупреждения о неизвестном издателе — использование сертификата подписи кода устраняет небезопасное предупреждение «Неизвестный издатель», напрямую отображает информацию о компании издателя и указывает источник программного обеспечения, чтобы пользователи могли загружать его без опасений.

4. Получение репутации Smartscreen — Smartscreen — это функция безопасности от Microsoft, которая помогает предотвратить фишинговые или вредоносные веб-сайты и приложения, а также загрузку потенциально вредоносных файлов. После цифровой подписи программного обеспечения с помощью подписи кода можно получить репутацию Smartscreen.

5. Увеличение количества загрузок — использование сертификата подписи кода устраняет небезопасное предупреждение «Неизвестный издатель», напрямую отображает информацию о компании издателя, позволяя пользователям спокойно загружать и устанавливать программное обеспечение, что увеличивает количество загрузок.

6. Соответствие требованиям платформ приложений — такие платформы, как Apple App Store, Google Play, магазин приложений Tencent, 360 Software и другие, требуют цифровой подписи программного обеспечения. Сертификат подписи кода позволяет подписывать приложения цифровой подписью, что упрощает их распространение на основных платформах и в магазинах приложений.

3. Как подать заявку на сертификат подписи кода?

1. Выбор типа сертификата. Разработчик может выбрать подходящий тип сертификата подписи кода в зависимости от своих потребностей и бюджета.
2. Заполнение данных и отправка. Заполните корпоративные данные, включая свидетельство о регистрации компании, информацию о законном представителе, контактное лицо, служебную информацию и контакты, проверьте правильность и отправьте.
3. Проверка центром сертификации. Центр сертификации проверит подлинность предприятия по телефону и через публичные информационные системы (например, D-U-N-S, систему публикации сведений о предпринимателях). Обычно это занимает 1–5 рабочих дней.
4. Получение Ukey и использование. После успешной проверки сертификат подписи кода будет отправлен курьерской службой в виде Ukey. После получения можно сразу приступать к подписанию программного обеспечения.

4. Использование и просмотр сертификата подписи кода

После получения Ukey для подписи кода можно сразу использовать средства подписи (например, SignTool) в среде Windows для подписания программного обеспечения.

После подписания достаточно щёлкнуть правой кнопкой мыши по приложению и последовательно выбрать «Свойства» — «Цифровые подписи», чтобы просмотреть сведения о подписанте, алгоритм дайджеста и метку времени.

Сертификат подписи кода стал ключевым элементом безопасного распространения программного обеспечения: это не только технический инструмент, но и важный мост для построения цифрового доверия. Для разработчиков программного обеспечения и предприятий понимание сертификатов подписи кода, их рациональный выбор и использование позволяют подтвердить подлинность разработчика, убрать предупреждение Windows о неизвестном издателе, предотвратить подделку кода, а также укрепить репутацию бренда и улучшить пользовательский опыт.

Если у вас есть дополнительные вопросы или потребности, свяжитесь с нами для получения поддержки.