Сертификат SSL совпадает с сертификатом подписи?

Является ли сертификат подписи кода таким же, как сертификат SSL?

Ответы

Ответ 1

Сертификат подписи кода по существу совпадает с сертификатом SSL. Оба используются для подписи некоторых данных, чтобы доказать, что данные (программный пакет или содержимое веб-страницы) исходят от "субъекта" сертификата. Есть два основных отличия, которые я могу придумать:

  • У них есть разные идентификаторы OID с расширенным ключом в сертификате. Сертификат подписи кода может использоваться только для подписи части кода. Ничто не мешает вам подписаться с неправильным сертификатом, но клиент (например, веб-браузер) проверяет все "расширенные ключи", указанные в сертификате, и отклоняет подпись, если сертификат не содержит соответствующий OID (например, "подпись кода" ), Это означает, что один сертификат может иметь как идентификаторы "подписи кода", так и "идентификаторы сервера", чтобы он мог использоваться для обоих сценариев. Но по соображениям безопасности никто не должен этого делать.

  • SSL-сертификат становится недействительным после истечения срока его действия. Но сертификат подписи кода получает специальное лечение. Например, если вы купили некоторое программное обеспечение 10 лет назад, сертификат подписи кода, используемый для его подписания, вероятно, истек сегодня. Но в сочетании с услугой тиснения времени можно доказать, что пакет программного обеспечения был правильно подписан 10 лет назад.

Ответ 2

Нет. Конечно, SO не позволит мне просто ответить "нет", поэтому нам придется объяснять.

В принципе, сертификат подписи кода дает вам закрытый ключ, который может быть проверен в отношении открытого ключа, заверенного известным органом. Вы делаете цифровую подпись с этим ключом, а другой конец может проверить, что у вас есть сертификат из надежного источника, когда вы его подписали.

Сертификат SSL - это только подписанный "документ", который может быть проверен как прибывший из надежного источника. Вы не можете шифровать или подписывать с ним, потому что у него нет ни одного ключевого материала, который принадлежит вам; это просто подписанный документ, в котором говорится: "Я подтверждаю, что я доверяю тому, кто этот парень говорит, что он есть".