Kod imzalama sertifikası, bir yazılım dosyasına (exe, dll, msi, betik, sürücü) dijital imza eklemenizi sağlar. İmza iki şeyi doğrular: dosyayı yayımlayan doğrulanmış kuruluş ve dosyanın imzadan sonra değiştirilmediği.
Nasıl çalışır?
- İmzalama aracı dosyanın özetini (hash) hesaplar.
- Özet, özel anahtarınızla imzalanır ve dosyaya sertifikanızla birlikte gömülür.
- Kullanıcının sistemi imzayı açık anahtarla doğrular, dosyanın hash'ini yeniden hesaplayıp karşılaştırır.
- Uyuşmazlık varsa dosyanın bozulduğu veya kurcalandığı anlaşılır.
OV ve EV farkı
- OV (Organization Validation): Kuruluşunuzun varlığı doğrulanır. Yayıncı adı imzada görünür; SmartScreen itibarı zamanla oluşur.
- EV (Extended Validation): Daha sıkı kurumsal doğrulama gerektirir. SmartScreen itibarı konusunda avantaj sağlar ve Windows kernel-mode sürücü imzalama süreçlerinde EV gerekir.
Güncel kurallar gereği özel anahtarlar donanım korumalı ortamda (token veya bulut HSM) tutulur; anahtarı dosya olarak kopyalamak mümkün değildir.
Zaman damgası neden şart?
İmza atılırken bir zaman damgası sunucusu kullanılırsa, sertifika süresi dolsa bile daha önceki imzalı dosyalar geçerli kalır. Zaman damgasız imza sertifikayla birlikte sona erer.
Ne zaman gerekir?
- İnternetten indirilebilir masaüstü yazılım dağıtıyorsanız.
- Kurumsal ortamlara kurulum paketi veriyorsanız.
- Antivirüs yanlış pozitiflerini ve "Bilinmeyen yayıncı" uyarılarını azaltmak istiyorsanız.
Yaygın yanlış anlamalar
- İmza yazılımın zararsız olduğunu garanti etmez; yalnızca yayıncıyı ve değişmediğini gösterir.
- İmzalı dosya da antivirüs tarafından işaretlenebilir; imza bu riski azaltır, sıfırlamaz.
- Sertifika süresi dolunca zaman damgalı eski imzalar geçerli kalmaya devam eder, ancak yeni sürümler için yenileme gerekir.
Not: Bu sertifika web sitesi için değildir; siteler için SSL sertifikaları kullanılır. Kod imzalama ürünlerini Kod İmzalama sayfasında inceleyebilir, USB token ve kargo gerektirmeyen bulut HSM seçeneği için Certum bulut kod imzalama sayfasına bakabilirsiniz.