Yazılımı dışarıya dağıtan bir yayıncı için kod imzalama, tek seferlik bir işlem değil; sürüm sürecinin parçası olan bir güvenlik kontrolüdür. Yükleyici, güncelleme paketi ve yardımcı bileşenlerin tamamı tutarlı biçimde imzalanmalıdır.
Neyi imzalamalısınız?
- Ana uygulama ve tüm .dll bileşenleri
- Yükleyici (.exe veya .msi) ve kaldırıcı
- Otomatik güncelleme paketleri ve güncelleyici hizmeti
- Eklentiler, sürücüler ve betikler
Yalnızca yükleyiciyi imzalayıp içindeki dosyaları imzasız bırakmak, antivirüs ve kurumsal politikalarda sorun çıkarabilir.
İş akışı önerisi
- Derleme çıktısını üretin.
- Bileşenleri imzalayın, sonra yükleyiciyi paketleyin.
- Yükleyiciyi imzalayın.
- İmzaları doğrulayın ve yalnızca doğrulanmış paketi yayınlayın.
signtool sign /fd SHA256 /tr http://time.certum.pl /td SHA256 /a setup.exe
signtool verify /pa /v setup.exeCI/CD ve anahtar güvenliği
Özel anahtar derleme sunucusuna düz dosya olarak kopyalanmamalıdır. Donanım token'ı, HSM veya bulut HSM üzerinden imzalama yapın; imza yetkisini yalnızca onaylı sürüm dallarına verin. Erişim günlüklerini tutun ve anahtarı kullanabilen kişi sayısını sınırlı tutun.
Yayıncı adı ve süreklilik
- Sertifika yenilerken kuruluş adının aynı kalmasına dikkat edin.
- Sertifika bitiş tarihini takvime ekleyin; zaman damgalı eski imzalar geçerli kalır.
- Test imzalarını üretim sertifikasından ayırın.
Sürüm yönetimi ve kayıt
Her sürümde hangi sertifikayla imzalandığını, imza tarihini ve dosya özetini sürüm notlarıyla birlikte kaydedin. Bir imzalama hatasında hangi sürümlerin etkilendiğini hızla bulmak için bu kayıt işe yarar. Sertifika iptali gerektiren bir anahtar ihlalinde, yeniden imzalama ve kullanıcıları bilgilendirme planınızın önceden hazır olması, müdahale süresini kısaltır.
- İmzalama işlemini yapan hesapları düzenli gözden geçirin.
- Kimlik bilgilerini belirli aralıklarla yenileyin.
Seçenekler için kod imzalama sertifikaları, USB token ve kargo gerektirmeyen bulut HSM yaklaşımı için Certum Cloud kod imzalama sayfasına bakabilirsiniz. Genel kavramlar için bilgi bankasını kullanın.
Özet: İmzalamayı yayın hattının zorunlu ve otomatik bir adımı haline getirdiğinizde, hem kullanıcı güveni hem iç güvenlik denetimi aynı anda güçlenir. Elle ve dağınık imzalama ise zamanla tutarsızlık ve anahtar sızıntısı riski doğurur.