Extended Validation (EV) Code Signing сертификаты расширенной проверки на токене
Сертификаты подписи кода EV имеют два отличительных преимущества перед обычными сертификатами
- процедура выпуска (издания) и управление.
Во-первых, процесс проверки EV удостоверения личности и авторизации издателя производится в соответствии
с Руководством по подписи кодов EV / CA. Во-вторых, приватные ключи к сертификатам должны сохраняться
на оборудовании, отвечающем требованиям FIPS 140 Level 2 или подобным.
Используя сертификаты подписи EV-кода вы подтверждаете издателя и обеспечиваете немедленную репутацию ПО в Microsoft SmartScreen.
Умная защита была предоставлена закрытому ключу для смягчения несанкционированного подписания.
Поскольку сертификаты подписи кода EV более надежны, это позволяет разработчикам продуктов повысить
уровень репутации издателя или подписанный код.
Например, Microsoft предоставляет репутацию приложения для кода, подписанного EV,
через SmartScreen для IE9 и 10 и в Windows 8. Повышенная репутация уменьшит необходимость предоставления
пользователю диалогового окна доверия. Они просто выбирают «Сохранить» или «Выполнить».
Сертификаты подписи кода от доверенных центров сертификации (CA) отвечают насущной потребности в
аутентификации программного обеспечения, распространяемого через Интернет в нашем взаимосвязанном мире.
Поскольку обычно упоминается «Интернет вещей», продолжает расти, потребители имеют доступ к миллионам
приложений для своих рабочих столов, ноутбуков и мобильных устройств. Творческие разработчики программного
обеспечения предоставляют нам приложения для покрытия любых наших потенциальных потребностей или интересов.
Киберпреступники и другие злонамеренные намерения признают это как возможность и пытаются обмануть нас в
установке вредоносного программного обеспечения (вредоносного ПО) - программ, которые захватывают наши
компьютеры, украдут наши деньги или попытаются причинить вред.
Сертификаты подписи кода играют ключевую роль, помогая пользователям идентифицировать аутентичный
код программного обеспечения у авторитетных издателей
и получить уверенность в том, что код не был взломан заранее. Эффективно, подписание кода
сертификаты помогают создать «цифровую термоусадочную пленку» на программном обеспечении. Не только пользователи
получают выгоду, потому что цифровая подпись идентифицирует источник кода, но издатели программного обеспечения
также могут защищать и защищать целостность своего бренда.
Сертификаты подписи кода играют ключевую роль в структуре доверия, доказывая подлинность программного обеспечения.
Сертификаты подписи кода действуют как свидетельство того, что программное обеспечение не было изменено после
публикации. Хотя в настоящее время методы подписи кода значительно уменьшают угрозы вредоносного и рекламного ПО,
встроенные в подписанные объекты, повысилась сложность угроз, и есть необходимость в улучшении. Когда подписание кода
было новым, квалифицированные преступные хакеры были исключением, а сценаристы были нормой. Теперь уровень
мастерства и изощренность криминальных сетей и даже национальных государств продвинулись до такой степени, что
индивидуальные вредоносные программы используются для проникновения в сети компаний, кражи ценной информации
и даже вмешательства в чувствительную инфраструктуру.
Признавая необходимость опережать эти растущие угрозы и важную роль, которую может играть цифровая подпись в
защите экосистемы распространения программного обеспечения, участники форума CA / Browser Forum создали рабочую
группу, направленную на улучшение практики и стандартов глобального обмена кодами , Во время первоначальных совещаний
Рабочая группа по подписанию кодов (рабочая группа) выявила несколько областей, нуждающихся в улучшении:
Улучшение методов хранения ключей и защиты секретных ключей. Многие атаки удаются просто путем доступа
к секретным ключам издателя программного обеспечения, особенно к крупным организациям. Подписывая код с украденным
ключом, злоумышленники могут легко обмануть конечных пользователей при установке вредоносного ПО, поскольку программное
обеспечение имеет вид легитимности. Повышенная изощренность социальной инженерии и аналогично нацеленные угрозы делают
защиту ключей еще более сложной, но более необходимой. Таким образом, рабочая группа изучает пути улучшения хранения ключей
и дальнейшего обучения конечных пользователей лучшим методам хранения данных.
Улучшение проверки личности. Установление минимальных стандартов для выдачи сертификатов подписи кода уменьшит
количество угроз, обеспечив достаточный идентификатор, ответственный за код. Хотя большинство центров сертификации уже
придерживаются строгих методов проверки личности, несколько случаев показали необходимость кодификации этой практики и
укрепления стандарта. Помимо того, что пользователи понимают источник кода, лучшие методы идентификации могут помочь
правоохранительным органам в поиске и прекращении злонамеренных сторон. Новые стандарты идентификации лучше подтвердят
местоположение и личность каждого подписавшего, позволяя всем знать, кто несет ответственность за код.
Лучшее обнаружение угроз. Часть рекомендаций рабочей группы по борьбе с вредоносным ПО включает усовершенствованные
процессы обмена информацией между эмитентами. В настоящее время инициатор вредоносного ПО, чей предыдущий сертификат был отозван,
может обратиться к дополнительным ЦС до тех пор, пока не будет выдан сертификат, если бы эти ЦС не знали о недавних злодеяниях.
Новые механизмы обмена информацией помогут предупредить ЦС о плохих акторах, ищущих сертификат, и распространять информацию
о вредоносном ПО. В дополнение к обмену информацией рабочая группа изучает способы обеспечения проверки кода на наличие
вредоносного ПО перед подписанием, а также дополнительные защитные меры для защиты целей высокого риска.
Технические улучшения. Новые разработки в отрасли применяются к сертификатам подписи кода и включены как часть
минимальных стандартов, включая более качественные размеры ключей и более безопасные алгоритмы хеширования.
Эти улучшения направлены на предотвращение грубой силы и подобных атак.
OV 
Купить сертификат
