021-54410609
组织花费大量资金来保护用户的数字身份和访问管理，例如他们的用户名和密码。需要更多资源来管理代码签名密钥、机器身份和证书，因为全球数字经济依赖于安全的基础设施和软件。数字化转型使企业将其运营转变为数字化并开展软件业务。因此，需要使用代码签名机来保护这些关键基础设施，这使得身份管理比以往任何时候都更加重要。
什么是代码签名（CodeSign）？
代码签名是一种将数字签名添加到数字文件或软件的方式或方法，以便在使用时可以验证其真实性，包括软件的完整性。它有助于保证收件人知道发件人或作者是谁，并且在签名后没有被篡改。早些时候，代码签名软件主要用于验证软件可执行文件的真实性，如软件更新、程序和 Shell 脚本，以验证这些最终用户的真实性和完整性。
代码签名是如何工作的？
当使用有效的机器身份对软件进行签名时——例如代码签名证书和加密密钥——计算设备将隐含地信任并无条件地运行该软件。有效的代码签名表示代码来自签署它的可信源并且没有被第三方篡改。当此过程遭到破坏时，网络犯罪分子可以滥用代码签名机器身份将看似来自您组织的恶意软件偷偷带入您的软件。然而，随着最近黑客在最终软件签名之前插入恶意软件的一系列软件供应链攻击，代码签名现在也用于保护中间软件工件，例如源代码、构建脚本、软件库、执行容器（如 Docker）和软件团队用来构建软件的工具。
在使用有效的机器身份（例如加密密钥和代码签名证书）对软件进行签名后，计算设备隐含地信任并无条件地运行该软件。有效的代码签名表示代码来自签署它的可信源并且没有被第三方篡改或损坏。当此过程遭到破坏时，网络犯罪分子可以滥用代码签名机器身份将看似来自您组织的恶意软件偷偷带入您的软件。
代码签名机器身份如何影响安全性？
在进行在线交易时，用户希望确保在登录银行帐户时，他们向目标银行而非任何攻击者提供了凭据。同样，最好确保用户打算下载的软件程序和更新是安全的，并且来自真实的发件人或发布者。为此，用户必须使用用于保护 HTTPS 连接的相同公钥基础设施 (PKI) 。代码签名过程定义为使用机器身份对软件进行签名和验证。
当诸如程序、文档、驱动程序、固件、文件、移动应用程序、容器甚至脚本之类的软件文件经过数字签名以表明它已从经过身份验证的源发送并且数据未被篡改或签了之后改了。代码签名操作所需的三个必要项目是：
要签署的代码。
证书颁发机构(CA)先前颁发了公共代码签名证书。
私有代码签名密钥必须用安全的方式进行保护。
组织拥有代码签名证书和私/公PKI密钥对后，开发人员或用户可以对其代码进行签名。此过程因签名的代码类型和发布频率而异。
揽阁信息提供的HSM如何提供安全性？
作为Thales的合作伙伴，揽阁信息提供的Luna HSM和ProtectServer HSM具有以下安全特征：
经过国际专业评测机构认证，拥有FIPS 140-2 Level 3和CC EAL 4+认证，被广大客户认可并正在使用的产品。
在这些HSM中创建的私钥永远保存在被认证的硬件设备中，可确保用于签名的私钥不会裸露在外部。
这些HSM提供了PKCS#11、Java (JCA/JCE)、Microsoft CAPI和CNG、OpenSSL等API，可轻松与代码签名工具进行集成。
部分常用代码签名工具已经集成这些HSM，可实现开箱即用。例如：MicroSoft的SignTool、Encryption Consulting的CodeSign Secure、PrimeKey的SignServer等
单台设备最高可达10000次/秒的RSA2048签名速率
通过HSM内部的多分区（Partion）轻松应对复杂环境下的密钥使用和访问控制难题
通过简单的部署和配置，即可实现集群化架构
想了解更多关于HSM和代码签名的使用方式以及解决方案，请联系揽阁信息。
揽阁信息可提供的部分安全产品和解决方案信息
联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：
-
数据库访问控制：揽阁LGPAC系统
-
通用HSM：Luna HSM、ProtectServer HSM
-
支付HSM：payShield 10K
您还可以得到揽阁信息所提供的优质服务。
揽阁信息 · 值得您信赖的信息安全顾问！
联系我们
免费试用留言
客服电话