代码签名证书是什么
代码签名证书是一种由受信任的证书颁发机构（CA）签发的数字身份凭证，用于对软件、驱动程序、脚本或可执行文件进行数字签名。它不提供传输层加密，而是通过公钥基础设施（PKI）绑定开发者身份与代码完整性，向终端用户证明“这段代码确实来自声称的发布者，且自签名后未被篡改”。在Windows SmartScreen、macOS Gatekeeper 或 Android APK 验证机制中，缺失有效代码签名将直接触发“未知发布者”警告甚至拦截安装。
代码签名证书已不是可选项——微软要求所有内核驱动必须使用EV代码签名证书才能通过WHQL认证；苹果macOS Catalina起强制验证App Store外应用签名；国内信创环境也明确要求政务/金融类软件须具备国密SM2代码签名能力。未签名的软件在主流操作系统中默认被标记为高风险，直接影响用户下载转化与企业合规准入。
技术背景与核心机制
代码签名如何实现可信分发
签名过程包含三步关键操作：首先，开发者使用私钥对二进制文件生成唯一哈希值；其次，将哈希值与开发者身份信息（经CA验证）封装进数字证书；最后，将签名数据嵌入PE/ELF/Mach-O文件头或独立附着为.sig文件。当用户运行程序时，系统调用CA根证书公钥解密签名，重新计算哈希并比对——任一环节失败即判定篡改或来源不可信。
证书类型决定信任深度
DV型普通代码签名仅验证域名控制权，适用于个人工具或测试版软件；OV型需提交企业营业执照等材料，支持时间戳服务，满足多数商业分发场景；EV型则强制要求USB硬件令牌存储私钥，并完成实地尽调，是Windows驱动商店上架、Chrome扩展发布及国产信创平台准入的硬性门槛。锐安信sslTrus和沃通WoTrus均提供符合国密SM2算法的EV代码签名方案，适配红莲花、360安全浏览器等国产生态。
部署与工程限制
真实生产环境中存在两项刚性约束：一是私钥绝对不可导出至非硬件载体——EV证书若在虚拟机或云服务器上签名，将因私钥暴露导致证书吊销；二是时间戳服务（RFC 3161）必须启用，否则证书过期后签名立即失效。我们曾处理过某银行客户端因未配置DigiCert时间戳服务器，导致30万终端在证书到期日集体弹出“无法验证发布者”错误的故障案例。
| ** - ** | 参考标准 | TopSSL专家建议 |
|---|---|---|
| 签名算法 | RSA 2048+/SHA-256 或 SM2/SM3（国密） | 避免使用SHA-1或RSA 1024，Chrome 120+已彻底拒绝 |
| 时间戳服务 | 必须接入权威TSA（如Digicert、Sectigo或CFCA） | 推荐使用CFCA国密时间戳服务，兼容信创环境 |
| 证书链完整性 | 需包含完整中间证书（非仅根证书） | 部署前用SSL证书检查工具验证链状态 |
常见问题
Q：代码签名证书和SSL证书能通用吗？ A：不能。SSL证书保护传输通道（HTTPS），代码签名证书保障代码本体可信，二者密钥用途、验证流程、证书策略完全隔离。
Q：一个证书能否给多个软件签名？ A：可以，但同一证书签名的所有软件共享信任生命周期——若其中一款被查出恶意行为，整张证书将被CA吊销，其余软件同步失效。
Q：免费代码签名证书存在吗？ A：不存在。CA/B论坛明确禁止免费签发代码签名证书，因其涉及操作系统级信任锚点，所有商用证书均需严格身份审计。
京公网安备11010502031690号
网站经营企业工商营业执照
