kóðasigning

Kóðasigning er ferli sem bætir rafrænni undirskrift við forrit, skrár eða uppsetningar til að staðfesta höfunda og óbreyttni kóðans. Með kóðasigning eru skrárnar undirritaðar með einka-lykli sem forritari eða fyrirtæki hefur og tengt í vottorði frá traustum aðila (CA). Undirskriftin og vottorðið gera notendum og stýrikerfum kleift að sannreyna uppruna kóðans og að innihald hans hafi ekki verið breytt eftir undirritun.

Til að undirrita þarf að búa til lyklaapar, þar sem einka-lykill er haldið leyndum af útgefanda og opinber lykill birtist í vottorði. Kóðinn er þá undirritaður með einka-lykli og fylgir með við skrána. Þegar notandi eða tölva vinnur með forritið er hlutverk verifikunar að sannreyna undirskriftina gegn vottorðinu og uppbyggingu vottorðakerfisins. Traust kerfisins byggist því á trausti CA og á þeirri keðju sem leiðir frá rótvottorðinu til undirskrifarinnar.

Mörg stýrikerfi og forritunarsvæði hafa sérsniðna aðferð við kóðasigning. Dæmi eru Windows Authenticode, macOS codesign og ýmis pakkakerfi á Linux (t.d. DEB/RPM með undirrituðum pakkum). Gagnlegt er að hafa skýra stefnu um lykilhost og regluleg lykilrotnun (key rotation), auk þess sem afturkallanir og CRL/OCSP eru notaðar til að ógilda orðræðurykjur ef lykill verður af eða misnotaður.

Áhrif kóðasigning eru aukin traustnotkun og minni líkur á aðbrotið kóða sé dreift sem óöruggt. Hins vegar tryggir hún ekki að forrit sé öruggt eða laust við villur; hún staðsetur aðeins höfund og tryggir að kóðinn hafi ekki verið breytt síðan hann var undirritaður.