使用代碼簽名證書(shū)，保證移動(dòng)應(yīng)用程序與軟件安全 Globalsign

shmg001

網(wǎng)絡(luò)移動(dòng)智能手機(jī)調(diào)查報(bào)告指出，智能手機(jī)應(yīng)用程序正在為更多互聯(lián)網(wǎng)用戶(hù)提供多樣化服務(wù)，但隨著這些嶄新的應(yīng)用帶來(lái)許多新興的商業(yè)行為時(shí)，同時(shí)卻也帶來(lái)許多安全漏洞和惡意代碼的風(fēng)險(xiǎn)，威脅著網(wǎng)友使用行為。面對(duì)互聯(lián)網(wǎng)時(shí)代的假身份、惡意欺詐、釣魚(yú)網(wǎng)站等誠(chéng)信風(fēng)險(xiǎn)和木馬、病毒、隱私竊取等安全威脅，智能手機(jī)應(yīng)用程序正為互聯(lián)網(wǎng)帶來(lái)“誠(chéng)信”和“信任”的兩大挑戰(zhàn)，如何確保網(wǎng)站經(jīng)營(yíng)者的誠(chéng)信，以及如何獲得網(wǎng)民的信任已經(jīng)成為應(yīng)用程序開(kāi)發(fā)業(yè)者必須要解決的迫切問(wèn)題。

根據(jù)我們所進(jìn)行的市場(chǎng)觀察，國(guó)際知名的移動(dòng)操作系統(tǒng)平臺(tái)（例如Windows® Mobile 7）以及流行的應(yīng)用程序商店（APP store）已經(jīng)陸續(xù)實(shí)施代碼簽名證書(shū)技術(shù)，用以解決日益嚴(yán)重的互聯(lián)網(wǎng)安全問(wèn)題。這些移動(dòng)平臺(tái)及應(yīng)用程序商店通過(guò)采用代碼簽名證書(shū)來(lái)確保用戶(hù)日益依賴(lài)的移動(dòng)設(shè)備應(yīng)用程序的安全性。

什么是代碼簽名?

在傳統(tǒng)的軟件采購(gòu)模式中，購(gòu)買(mǎi)者通過(guò)檢查軟件外盒包裝來(lái)確定應(yīng)用程序的來(lái)源及完整性。然而，在互聯(lián)網(wǎng)下載的軟件因?yàn)榇嬖谥�難以確認(rèn)開(kāi)發(fā)商及發(fā)行商的風(fēng)險(xiǎn)，若不慎在互聯(lián)網(wǎng)中下載到夾有惡意代碼的應(yīng)用程序或軟件，不僅會(huì)給終端用戶(hù)的智能手機(jī)或移動(dòng)設(shè)備帶來(lái)風(fēng)險(xiǎn)，亦可能使所有用戶(hù)遭受攻擊，并導(dǎo)致服務(wù)中斷，嚴(yán)重?fù)p害應(yīng)用程序開(kāi)發(fā)業(yè)者的聲譽(yù)。

代碼簽名證書(shū)技術(shù)基于公共密鑰加密法技術(shù)，為一種數(shù)字簽名技術(shù)，開(kāi)發(fā)者或軟件發(fā)行商使用“私有”密鑰，在軟件代碼中加設(shè)一個(gè)數(shù)字簽名，在移動(dòng)應(yīng)用程序下載過(guò)程中，使用“公共”密鑰驗(yàn)證簽名，將應(yīng)用程序簽名中的散列碼與所下載程序中的散列碼進(jìn)行對(duì)比。而數(shù)字簽名中的散列碼用以確認(rèn)文件內(nèi)容，檢驗(yàn)文件在簽名后代碼是否被更改或損壞，下載該軟件或應(yīng)用程序的用戶(hù)便能能夠驗(yàn)證文件內(nèi)容及軟件的完整性。

通過(guò)網(wǎng)友的信任門(mén)檻

正常情況下，移動(dòng)代碼簽名證書(shū)的實(shí)現(xiàn)有兩個(gè)數(shù)字認(rèn)證：一個(gè)用來(lái)識(shí)別發(fā)行商，另一個(gè)用來(lái)識(shí)別內(nèi)容。大多數(shù)情況下，來(lái)自受信源的簽名代碼可以被自動(dòng)接收，安全警示也會(huì)提示終端用戶(hù)查看簽名信息，確定這一代碼的可信度。軟件開(kāi)發(fā)或應(yīng)用程序開(kāi)發(fā)商將產(chǎn)品發(fā)布到互聯(lián)網(wǎng)上后，某些網(wǎng)絡(luò)平臺(tái)只接受已簽名的應(yīng)用程序，有些則會(huì)要求添加代碼簽名，以便提升應(yīng)用程序的安全性。

應(yīng)用程序商店 （APP store）對(duì)軟件及應(yīng)用程式的驗(yàn)證過(guò)程對(duì)應(yīng)用程序開(kāi)發(fā)者來(lái)說(shuō)非常重要，若能使用證書(shū)認(rèn)證中心（CA）的所發(fā)行的代碼簽名證書(shū)，將可順利通過(guò)驗(yàn)證、審查。在代碼簽名證書(shū)的審核過(guò)程中，證書(shū)認(rèn)證中心（CA）將收集與發(fā)行商及其機(jī)構(gòu)有關(guān)的信息，核實(shí)身份的真實(shí)性，GlobalSign 正是受到 WebTrust 認(rèn)可的證書(shū)認(rèn)證中。依照 GlobalSign 的證書(shū)審查程序中，確保其身份的真實(shí)性對(duì)代碼簽名證書(shū)頒發(fā)作業(yè)來(lái)說(shuō)至為重，我們實(shí)時(shí)以互聯(lián)網(wǎng)的安全使用為期許。

互聯(lián)網(wǎng)正驅(qū)動(dòng)著消費(fèi)者更加關(guān)注移動(dòng)應(yīng)用程序，意味著用戶(hù)、應(yīng)用程序開(kāi)發(fā)者、發(fā)行商以及網(wǎng)絡(luò)運(yùn)營(yíng)商都能意識(shí)到網(wǎng)絡(luò)安全應(yīng)用的重要性。而代碼簽名使得發(fā)行商能夠保護(hù)客戶(hù)的安全使用，及他們的品牌價(jià)值，網(wǎng)絡(luò)運(yùn)營(yíng)商可以大幅地降低網(wǎng)絡(luò)和用戶(hù)遭受攻擊的風(fēng)險(xiǎn)。

GlobalSign 代碼簽名證書(shū)服務(wù)簡(jiǎn)介：

GlobalSign代碼簽名證書(shū)針對(duì)程序代碼和內(nèi)容建立了一種數(shù)字化的驗(yàn)證及保護(hù)程序，可在軟件發(fā)行者和用戶(hù)透過(guò)互聯(lián)網(wǎng)和行動(dòng)網(wǎng)絡(luò)下載、安裝代碼程序和內(nèi)容時(shí)，由系統(tǒng)跳出開(kāi)發(fā)者的信息，大幅提高安全性。簡(jiǎn)單來(lái)說(shuō)，代碼簽名證書(shū)的功能為：驗(yàn)證內(nèi)容的來(lái)源為與完整性，而終端使用者也會(huì)意識(shí)到該代碼程序及內(nèi)容自發(fā)布后皆未遭到非法竄改，進(jìn)而對(duì)開(kāi)發(fā)商及組織機(jī)構(gòu)產(chǎn)生高度信賴(lài)感，保護(hù)了軟件開(kāi)發(fā)商的利益，使得軟件開(kāi)發(fā)商能安全地快速地通過(guò)互聯(lián)網(wǎng)發(fā)布軟件或應(yīng)用程序。

本文原創(chuàng)，轉(zhuǎn)載請(qǐng)注明出處!

     原文地址：https://cn.globalsign.com/company/news.asp?id=645