Centro di Code Signing - supporto per la firma delle applicazioni
Centro di supporto clienti per i certificati di Code Signing (certificati per firmare il codice e le applicazioni). Qui troverete tutte le informazioni rilevanti riguardo la firma del codice e l'utilizzo dei certificati di Code Signing.
Certificati di Code signing
Certificati per firmare il codice (Code signing) servono per firmare applicazioni sviluppate su diverse piattaforme di sviluppo. L'obiettivo della firma del codice non è solo l'autenticazione dell'editore, ma soprattutto la protezione dell'integrità dell'applicazione e della sua immodificabilità. Se qualcuno dovesse modificare l'applicazione (ad esempio aggiungendo malware), la firma non sarebbe più valida. Pertanto, la maggior parte dei sistemi attuali richiedono la firma dell'applicazione (MacOS) o avvertono fortemente prima di eseguire un'applicazione non firmata (Windows).
Certificato Code signing EV
Offriamo anche un certificato con verifica estesa per i certificati di firma del codice. I suoi vantaggi e le istruzioni per la sua attivazione sono riportati nei seguenti paragrafi.
Importanza del certificato Code signing EV
La sua importanza risiede in una migliore protezione del certificato e della chiave privata. Il certificato, insieme alla chiave privata, è conservato su un token e non è possibile esportarlo. L'uso del certificato è protetto da password e, dopo diversi tentativi errati, il token viene cancellato. È un'ottima protezione del tuo certificato di code signing da abusi.
Un altro vantaggio significativo del certificato Code Signing EV è la fiducia assoluta nel filtro Smartscreen, parte di Windows. Grazie alla firma EV, siete certi che il sistema Windows non bloccherà la vostra applicazione per gli utenti.
Maggiori informazioni sul certificato Code Signing nella nostra offerta sono disponibili sulla pagina del prodotto DigiCert Code Signing EV.
Come ottenere e attivare il certificato Code Signing EV
L'intero processo per ottenere e attivare il certificato Code Signing EV è descritto nell'articolo Attivazione del certificato Code Signing EV.
Come firmare il software con un certificato digitale
Per firmare con Code Signing le applicazioni sono necessarie due cose:
- Certificato di Code Signing
- Un'applicazione per firmare
Il certificato di Code Signing si ottiene da SSLmarket ed è facile. L'applicazione di firma viene scelta in base alla piattaforma su cui si sviluppa. Gli strumenti di firma più popolari e diffusi sono descritti nella nostra guida e possiamo aiutarvi con loro:
- Signtool da Windows SDK (guida)
- Jarsigner (vedi articolo sul blog)
- Utilità smctl da DigiCert - consigliato per KeyLocker (guida). Può utilizzare ad es. signtool e semplificare la firma.
La maggior parte dei nostri clienti sviluppa in ambiente MS Windows e utilizza Windows SDK. La firma avviene poi tramite lo strumento signtool.exe. La documentazione di signtool si trova sulla pagina SignTool.exe (Strumento di firma) sul sito Microsoft.
Firma tramite HSM cloud
L'HSM cloud serve per l'archiviazione sicura del certificato Code Signing e per l'accesso remoto ad esso. A differenza del certificato su token, consente l'automazione e la firma è molto rapida, poiché nel cloud viene inviato solo l'hash del file (il cosiddetto hash signing).
La firma tramite hash-signing e cloud la consigliamo vivamente rispetto al token. È sicura, veloce ed economica.
HSM cloud consigliati
- DigiCert KeyLocker
- DigiCert Software Trust Manager
- Azure Key Vault
- GCP Cloud KMS (Google)
- AWS CloudHSM
Nei paragrafi seguenti trovate i vantaggi e gli svantaggi delle singole soluzioni.
DigiCert KeyLocker
L'alternativa più economica al token è KeyLocker. Si tratta di un servizio semplice per un singolo utente, che consente una firma del codice agevole. DigiCert fornisce proprie librerie KSP e PKCS#11, che si installano sul sistema e si firma il codice esattamente come si è abituati. Con la loro utility SMCTL, la firma è ancora più semplice e diretta rispetto a signtool. SMCTL è compatibile con gli strumenti più utilizzati per Code Signing ed è in grado di richiamarli. KeyLocker ha un limite di 1000 firme, ed è quindi adatto a firme meno frequenti. Il numero di firme può però essere esteso a pagamento.
DigiCert Software Trust Manager
Si tratta della soluzione cloud di punta della piattaforma DigiCert ONE, destinata all'uso enterprise. Offre la gestione di un numero illimitato di certificati e utenti ed è illimitatamente scalabile. L'integrazione con la vostra piattaforma CI/CD è garantita da script e librerie pronti. L'accesso a STM e il numero di firme vengono concessi in licenza. Per maggiori informazioni su prezzo e modalità di licenza contattateci senza esitazione. La documentazione si trova sul sito web di DigiCert.
HSM cloud Azure e Google
Entrambi i grandi player del cloud forniscono un servizio HSM con accesso remoto sicuro tramite proprie librerie, che funzionano come KSP in Windows. Il loro utilizzo non è complicato e il prezzo di entrambi è molto vantaggioso (si paga solo per le operazioni crittografiche). Consigliamo Azure e GCP per un elevato numero di firme all'anno, poiché i costi sono bassi.
Trovate la guida per firmare il codice con Azure Key Vault nell'articolo Apposizione di firma al codice con Azure Key Vault. Per GCP Cloud KMS invece nell'articolo Apposizione di firma al codice con Google Cloud KMS.
AWS CloudHSM
Anche con Amazon è possibile firmare tramite cloud usando Signtool di Windows SDK, ma l'HSM configurato è a pagamento per ora di operatività. Oltre ai costi fissi si paga anche per le operazioni (firme). Se ancora non usate AWS, consigliamo piuttosto Azure o GCP HSM. Maggiori informazioni sull'utilizzo con Signtool sono disponibili nell'articolo Use Microsoft SignTool with Client SDK 3 to sign files.
Confronto Azure Key Vault vs Google Cloud KMS vs AWS CloudHSM/KMS+HSM
Il confronto di tutti e tre gli HSM cloud lo trovate nella tabella seguente. È focalizzato sui costi per operazione di firma (hash signing), sulle tariffe fisse, sulla scalabilità, sull'utilizzo basso, sulla complessità operativa e sulla latenza/throughput.
| Fattore | Azure Key Vault | Google Cloud KMS | AWS CloudHSM / KMS + HSM |
|---|---|---|---|
| Tariffe per operazioni (sign/verify) | Molto basse (≈ $/10 000 operazioni). | Molto basse (≈ $/10 000 operazioni). | Non è il costo principale; i principali sono le tariffe fisse per l'HSM. |
| Costi fissi | Possibile tariffa mensile per chiave HSM; altrimenti bassi. | Senza costi fissi significativi in modalità base. | Alti – noleggio orario dell'HSM (24/7) o Custom Key Store. |
| Scalabilità e capacità | Lineare secondo le transazioni; limitata dal throttling. | Lineare; attenzione alle quote (QPS/QPM). | Scalabilità aggiungendo HSM; cresce anche il costo fisso. |
| Costo con basso utilizzo | Vantaggioso — si paga soprattutto per le operazioni. | Vantaggioso — si paga soprattutto per le operazioni. | Svantaggioso — l'HSM viene pagato anche senza carico. |
| Complessità operativa | Bassa — servizio gestito. | Bassa — servizio gestito. | Più alta — gestione del cluster HSM e HA/DR. |
FAQ - domande frequenti
No. Il Code Signing non è rilasciato per il dominio, ma per una specifica organizzazione. Il nome di questa organizzazione è nel Common Name.
Con il certificato DigiCert Code Signing si possono firmare diversi tipi di software e script, per assicurarsi che provengano da una fonte affidabile e non siano stati modificati dopo l'emissione.
Cosa si può firmare:
- File eseguibili: .exe, .dll, .ocx, .msi, .cab
- Driver per Windows (WHLK/HLK)
- Applicazioni Java: .jar
- Macro e script VBA in Microsoft Office
- Script PowerShell: .ps1
- Applicazioni e pacchetti macOS (tramite Apple Developer ID)
- Applicazioni Adobe AIR
- Applicazioni e librerie .NET
- Script e installer in diversi ambienti
Cosa non si può firmare:
- Codice che richiede una firma elettronica qualificata secondo eIDAS
- File non destinati alla distribuzione
- Formati e piattaforme che non supportano la firma digitale
Sì, il codice contrassegnato temporalmente (timbrato) rimane valido anche dopo la scadenza del certificato. Se si utilizza un timestamp durante la firma, il sistema verifica che il codice sia stato firmato durante il periodo di validità del certificato. In questo modo la firma rimane affidabile. Senza l'utilizzo del timestamp, è necessario rifirmare il codice con un nuovo certificato.
Vedi articolo Istruzioni per contrassegnare temporalmente codice VBA sul sito DigiCert.com
No, è possibile firmare un numero illimitato di applicazioni con il certificato. Se hai un certificato di Code Signing su un token, puoi firmare senza restrizioni. Il numero di firme è considerato solo nei servizi cloud:
- DigiCert KeyLocker - hai 1000 firme per la durata del certificato, cui puoi acquistarne altre.
- Software Trust Manager - le firme sono concesse in licenza per la durata del contratto.
Firmare con un certificato di Code Signing è semplice e veloce. Sfrutta la cosiddetta firma basata su hash, dove viene calcolato un hash del file inviato al cloud per la firma. Il file stesso non viene trasferito altrove - solo l'hash firmato viene restituito alla firma. In questo modo il processo è sicuro ed efficiente.
La firma hash tramite cloud è utilizzabile con questi prodotti:
Contattaci
Se non sapete come procedere con qualsiasi fase dell'ordine, emissione o installazione del certificato, o con qualsiasi domanda, non esitate a contattare il nostro supporto clienti, che vi consiglierà e aiuterà. I nostri esperti con la certificazione Symantec Web Security Sales Expert Plus sono disponibili ogni giorno lavorativo durante l'orario di lavoro.
Puoi anche contattarci direttamente dal tuo account cliente inviando una richiesta dal menu Richiesta autorizzata.
Ti è stato utile questo articolo?
Grazie per il tuo feedback su questo articolo.
Ci dispiace che non ci hai trovato il necessario.
Ci aiuterai a migliorare l'articolo? Facci sapere cosa qui aspettavi e non hai scoperto.