Depuis l'avènement d'Internet, les internautes ont toujours été confrontés à l'un ou l'autre défi. L'un de ces problèmes est le fait qu'il est difficile pour les utilisateurs de faire confiance à un code publié sur Internet. Les utilisateurs ne peuvent pas se passer de télécharger régulièrement des logiciels depuis Internet sur leurs ordinateurs. Certains logiciels peuvent contenir des menaces ou des programmes malveillants qui mettent en danger les informations et la sécurité des utilisateurs.
Les développeurs peuvent annuler cette menace en signant numériquement tous les logiciels avant de les rendre disponibles au téléchargement par les internautes. Lorsque le logiciel est signé, il est plus facile pour les utilisateurs de vérifier son origine, ainsi que de vérifier qu'il n'a pas été modifié ou altéré de quelque façon que ce soit.
Le concept de la signature de code
La signature de code fait simplement référence à la signature de scripts à l'aide d'une signature numérique basée sur un certificat. L'objectif est de vérifier l'identité des auteurs et de s'assurer que le code n'a pas été modifié depuis que l'auteur l'a signé conformément aux normes de certification numérique de Microsoft. De cette façon, d'autres logiciels et utilisateurs peuvent déterminer s'ils peuvent faire confiance au logiciel.
Avec un certificat de signature de code Microsoft, il vous est possible de signer du code tout en utilisant une clé privée et publique (une méthode similaire à celle utilisée par SSH et SSL). Lorsque le certificat est demandé, une paire de clés publique / privée est générée. Cette clé privée reste sur la machine du demandeur et n'est jamais envoyée au fournisseur de certificats. Lorsque la clé publique est demandée par le fournisseur, elle est envoyée, puis le fournisseur émet un certificat.
Les types de signature de code acceptés comme étant les plus avancés sont appelés «certificats de signature de code à validation étendue». La raison pour laquelle ils sont si bien notés est qu'ils traitent deux des failles les plus courantes exploitées par les développeurs de logiciels malveillants pour propager leur code malveillant - une mauvaise protection des clés privées et des processus de vérification d'identité faibles.
Le premier est obtenu grâce à l'adoption de l'authentification à deux facteurs - la clé privée est chiffrée sur le jeton et stockée sur un dongle USB. Il sera impossible pour ceux qui ne disposent pas de l'appareil physique de signer du code à l'aide de votre certificat de signature de code.
Bien que la clé USB offre la meilleure protection possible, il peut ne pas être très pratique de l'utiliser dans l'entreprise, car il est possible que le dongle soit transmis entre les membres et puisse se perdre dans le processus. De plus, nous vous recommandons de ne pas copier, cloner, dupliquer le dongle USB car ce n'est pas une pratique qui tombe du côté droit des ToS des fabricants.
