У мене є сертифікат підписання коду від StartCom (StartSSL). Я дуже задоволений їх сервісом: Їхнє обслуговування клієнтів дуже швидке, а ціни на них дуже розумні.

Отримання сертифіката кодового підпису

Отримання сертифіката для підписання коду вимагає перевірки ідентичності класу 2 . StartCom проводить вас через увесь процес (з відмінною швидкістю відповідей, як правило, протягом десяти хвилин на моєму досвіді).
Якщо ви хочете отримати детальну інформацію відразу, прочитайте цю публікацію в блозі . Мене підтвердили протягом години (за плату 59,90 $ через Paypal).

Після перевірки створіть новий приватний ключ та запит на підпис сертифіката (CSR). Зауважте, що всі поля, крім відкритого ключа, ігноруються . Вся інформація у сертифікаті виводиться з інформації, яку ви надаєте під час перевірки ідентичності, а не з вашої КСВ .

# Create key and CSR (key must be at least 2048 bit, per Policy Statement)
openssl req -nodes -newkey rsa:2048 -keyout codesigning.key -out codesigning.csr
# Add pass phrase to key (optional, but highly recommended)
openssl rsa -in codesigning.key -des3 -out codesigning2.key && \
    mv codesigning2.key codesigning.key

Надішліть це через веб-інтерфейс, і ви швидко отримаєте новий сертифікат, який дійсний протягом двох років (я отримав міну протягом години).

Випуск: Довічне підписання OID

Сертифікати класу 2 для класу StartCom встановлені OID-довічного підпису. Через цей біт підпис підписаного коду стане недійсним після закінчення терміну дії сертифікату, навіть коли його позначають часом.

Коли я запитав Едді Нігга (COO / CTO of StartCom) про причину цього OID, він відповів:

Ми вимагаємо від нас зберігати КРС до 20 років після закінчення терміну дії сертифікатів. Це те, що ми можемо зробити для сертифікатів рівня EV (значно менший обсяг, різні умови оплати), але підвищить ціну для класу 2 саме для цієї вигоди (де підписання коду є лише частиною варіантів цього рівня).

Таким чином, мітка часу доступна лише після розширеної перевірки (EV), яка доступна лише юридично створеним організаціям і коштує 199,90 $. Отже, окремі розробники не можуть використовувати позначки часу із сертифікатом підпису коду від StartCom .

Тривалий час я вважав це обмеження великим питанням. Нещодавно я передумав: це відбувається лише раз на два роки, користувачі, орієнтовані на безпеку, можуть бути більш схильні отримати останню версію мого програмного забезпечення, а старі версії програмного забезпечення все одно працюватимуть (для тих, хто хоче ним користуватися; хоча без підтвердженого підпису).

Примітка. Завжди розмічайте часовий позначку свого коду, навіть якщо встановлено прапор довічного підписання ! Підписи, відмічені часом, залишаються дійсними до дати закінчення терміну дії сертифіката, навіть коли сертифікат був відкликаний (очевидно, лише якщо підпис створено до відкликання сертифіката).

Практичне використання сертифіката

У StartCom ви платите лише за перевірку. Перевірка посвідчення особи дійсна 350 днів, і протягом цього періоду ви можете безкоштовно запитувати сертифікати підпису коду. У вас може бути лише один дійсний сертифікат підписання коду, і він може використовуватися для підписання будь-якого коду (MSI, DLL, XPI, ...), але не коду драйвера (для цього потрібен EV).

Щоб змінити атрибут сертифіката, попередній сертифікат повинен бути відкликаний на новий запитуваний. Анулювання сертифіката коштує 29,90 $. Хоча коли я змінив електронний лист через день після отримання сертифіката для підписання коду, вони виключно відкликали мій сертифікат без гонорару (я був позитивно здивований)!

Термін дії

Коли термін дії вашого сертифікату закінчиться (майже через два роки), ви отримаєте сповіщення (за два тижні раніше). Якщо ваша підтверджена особа все-таки є дійсною (нагадайте, що терміни дії закінчуються через 350 днів; тоді вам доведеться підтвердити свою особу ще раз за 59,90 $), ви можете подати запит на новий сертифікат, не відкликаючи попередній. Не забудьте опублікувати нову версію програмного забезпечення, яке підписано цим новим сертифікатом підпису коду, оскільки попередні випуски незабаром покажуть "(не перевірено)" чи щось подібне.

OCSP

Коли я отримав свій сертифікат, я підписав свій додаток Firefox. Однак він усе ще показав "(Автор не підтверджений)", навіть якщо мій файл XPI був правильно підписаний. Виявилося, що Firefox не отримав поточного статусу сертифікату, коли запитував OCSP-сервери StartCom на статус відкликання мого нового сертифіката. ^{можливо відповідна тема форуму}

Приблизно через півтора дня мій сертифікат був відомий серверам OCSP, і моє ім’я з'явилося як очікувалося. Урок: Коли ви отримаєте новий сертифікат, почекайте близько дня, перш ніж опублікувати програмне забезпечення з новим підписом.