|
在通过精美的包装盒销售软件的时代大家使用什么防伪标志等来让用户识别什么是正版软件但在当今的网络时代有利的一面是软件开发商可以通过网络不受时间地域的限制而快速发行软件但不利的一面则是用户无法辨认软件的真伪根本无法确认软件代码的真实身份在没有间谍软件和木马程序之前大家可能还都信任某个软件就是软件中声称的开发商开发的软件但是在今天就不应该这样认为了互联网的匿名性使得用户根本无法确认此软件是否真的是软件中声称的开发商开发的软件！如何保证软件代码在网络传输过程中不会被非法修改同时还能让用户非常清楚地识别软件发行者的真实身份（ 软件真实来源 ）答案就是代码签名 以微软代码为例为了保证微软 Windows系统的安全和用户安全微软推出了 Microsoft Authenticode 技术即微软认证码技术此技术保证了只有使用了 Windows 的受信任的根证书颁发机构颁发的代码签名证书对软件代码数字签名后才允许在 Windows 上运行从而保证了软件代码来自真实的发行者和保证软件代码没有被非法篡改 软件开发商在自己电脑上生成私钥 （pvk） 和证书请求文件 （CSR） 提交给天威诚信 同时提交有关身份证明文件 （ 如营业执照等 ） 查验 验证身份后用自己的私钥给 CSR 文件签名后生成代码签名证书也就是公钥 （spc） 给软件开发商这样就完成了证书的申请和颁发 软件开发商用代码签名工具 （ 如 SignCodeexe） 给要签名的代码生成一个 Hash 表再用其私钥加密 Hash 表产生认证摘要接着就把认证摘要连同其公钥与软件代码一起打包生成签名后的新的软件代码软件开发商就可以把已经签名的代码放到网上发行了 最终用户从网上下载已经签名的代码时浏览器会从签名代码中解读出其签名证书 （ 公钥 ） 和 Hash 表摘要并与 Windows 的受信任的根证书相比较查验公钥证书的有效性和合法性验证签名证书正确后就可以确认此代码确实是来自真实的软件开发商 接着再使用签名时使用的同样算法对软件代码生成一个 Hash 表并使用公钥也同样生成一个 Hash 表认证摘要比较从代码中解包出来的 Hash 表认证摘要与生成的 Hash 表认证摘要是否一致如果一致则表明此代码在传输过程中未有任何修改从而可以确认代码的一致性 从以上整个过程的简单介绍可以看出 （） 购买代码签名证书一定要从 Windows 内置的受信任的根证书颁发机构购买 （ 如 Thawte VeriSign）否则无法通过验证而通过人为的添加根证书到 Windows 受信任的根证书存储区一来不可能要求所有网上用户在使用代码之前先下载和安装某个根证书更重要的是谁都可以人为添加的根证书不能保证签名证书的唯一性和权威性 （） 代码签名后不仅保证了软件开发商的真实身份而且还保证了代码的完整性以免代码被病毒干扰和被非法篡改 （） 只有使用了 Windows 受信任的证书颁发机构 颁发的代码签名证书签名的代码才允许下载所以如果您要让您的代码能让用户放心地下载就一定要申请代码签名证书 |
