O que é assinatura de código?

Início » Cibersegurança » O que é assinatura de código?

Read Time:4 Minute, 15 Second

A assinatura de código garante a identidade de um editor de software e garante a integridade do software

Como você sabe se pode ou não confiar em um software que está tentando baixar da Internet? Como você sabe que o software foi realmente criado pela empresa que você pensa e que nenhum malware foi inserido no executável desde então? Assinatura de código!

O que é assinatura de código? Um certificado de assinatura de código é um software que oferece aos desenvolvedores a capacidade de assinar digitalmente seu código, o que oferece dois benefícios importantes:

Verifica a identidade do editor
Garante a integridade do software

Não há substituto para a assinatura de código, é a única maneira de fazer com que os navegadores da Web confiem em seus downloads.

A assinatura de código faz com que seu software ultrapasse os filtros do navegador e os programas antivírus

Baixar algo da internet tem o potencial de ser muito perigoso. Basta um arquivo malicioso e você pode estar fora de um computador. Devido ao risco envolvido, navegadores e programas antivírus procuram certas garantias antes de permitir que um usuário baixe algo. A assinatura de código é um dos principais fatores que os recursos antimalware verificam para determinar se o software deve ser confiável ou não.

Quando você compra um certificado de assinatura de código de uma autoridade de certificação confiável, ele pode ser usado para aplicar uma assinatura digital ao seu software. Quando um filtro de navegador ou programa antivírus encontra o download, ele pode dizer que o software foi assinado com uma chave privada válida emitida por uma autoridade de certificação confiável. Como a CA teve que examinar você antes de emitir o certificado, o navegador ou programa antivírus sabe que também pode confiar em você.

O que acontece se eu não codificar meu software?

Qualquer pessoa que tente baixar o executável que você criou, desde que não esteja assinado, será saudado com um aviso intrusivo do navegador desaconselhando a instalação do software. As pessoas tendem a confiar nessas mensagens, o que terá um impacto negativo na taxa de instalação do software. A única maneira de contornar os avisos é codificar seu software.

O Windows exibe avisos de Publicador Desconhecido como este para executáveis não assinados.

Como funciona a assinatura de código?

Quando você terminar de trabalhar em um software e for hora de assiná-lo, você usará a chave privada que foi criada junto com seu certificado de assinatura de código e aplicará uma assinatura digital. Essa assinatura digital é então criptografada com o restante do seu código. Quando um usuário tenta baixar o código, seu sistema operacional/navegador/software antivírus realizará uma série de verificações:

Verifique a assinatura digital e certifique-se de que ela esteja vinculada a um certificado de assinatura de código confiável.
Execute a mesma técnica de hash aplicada durante a assinatura.
Compare o hash atual com o hash assinado. Se ele produzir o mesmo valor de hash, ele saberá que o software não foi adulterado – mesmo a menor alteração resultaria em um valor diferente.
Agora, o computador do usuário conhece a identidade do editor e que a integridade do software está intacta.
Ele agora prosseguirá com o download e mostrará ao usuário o editor verificado do software.

Os certificados de assinatura de código expiram?

Sim, um certificado de assinatura de código expira após 1-3 anos. Isto é por razões de segurança. Se os certificados de assinatura de código permanecessem válidos para sempre, haveria um risco substancial de certificados antigos de empresas de software agora extintas serem usados para fins nefastos. É muito mais seguro dar-lhes uma data de validade. Desde que você adicione um carimbo de data/hora no momento da assinatura, a assinatura digital permanecerá válida para sempre. Isso porque um carimbo de data/hora fornece ao cliente a prova de que o software foi assinado enquanto o certificado ainda era válido. Sem um carimbo de data/hora, a assinatura digital morre com o certificado.

Os certificados de assinatura de código funcionam em todas as plataformas?

A assinatura de código funciona em muitas plataformas diferentes que exigem assinatura de código, mas nem todos os certificados de assinatura de código funcionam em todas as plataformas. Geralmente, a maioria funcionará na maioria das plataformas, a única grande exceção é com a Apple e suas plataformas iOS e macOS. A Apple exige que você compre um certificado .p15 diretamente deles.

A maioria das outras plataformas são agnósticas. A assinatura de código de plataformas comuns é usada para incluir Microsoft Windows, Microsoft Office, Adobe AIR, Java e Mozilla.