Certificati di firma del codice

Esistono due livelli di validazione, e la scelta tra l’uno e l’altro dipende da chi firma e cosa firma.

• OV (Organization Validation) è il livello standard. La CA verifica l’esistenza legale di un’azienda registrata ed emette il certificato a quell’organizzazione. Comodo e Sectigo emettono anche certificati equivalenti OV a privati verificati, talvolta chiamati Individual Validation (IV), per sviluppatori indipendenti privi di un’azienda registrata. Le opzioni OV di SSL Dragon partono da $219/anno.
• EV (Extended Validation) richiede una verifica aziendale più approfondita secondo le linee guida EV del CA/Browser Forum. Solo le organizzazioni registrate sono idonee; i privati non lo sono. EV è l’unico livello accettato per la firma dei driver in modalità kernel di Windows, e molte politiche aziendali di procurement e audit lo richiedono esplicitamente. Le opzioni EV di SSL Dragon partono da $287/anno.

Una nota su SmartScreen: un aggiornamento del 2024 al Microsoft Trusted Root Program ha modificato il modo in cui si accumula la reputazione. La reputazione SmartScreen ora si costruisce per hash del file e volume di download, indipendentemente dal tipo di certificato. EV non garantisce più una fiducia SmartScreen immediata. I binari firmati sia con OV che con EV accumulano reputazione nello stesso modo una volta distribuiti.

Scegli OV se firmi applicazioni in modalità utente e vuoi il livello di prezzo inferiore. Scegli EV se firmi driver in modalità kernel Windows, hai bisogno della massima garanzia di identità, o hai requisiti di procurement che specificano esplicitamente EV.

Dal 1° giugno 2023, il CA/Browser Forum richiede che la chiave privata di ogni certificato pubblicamente attendibile venga generata e conservata su hardware conforme a FIPS 140-2 Level 2 o Common Criteria EAL 4+. I file .pfx scaricabili non vengono più emessi. Gli acquirenti scelgono una delle tre modalità di consegna:

1. Token USB spedito dalla CA. La CA invia per posta un token USB FIPS 140-2 Level 2 precaricato (tipicamente un YubiKey) all’indirizzo verificato dell’ordine.
2. Dispositivo conforme personale. Se il tuo team dispone già di un HSM o token FIPS 140-2 Level 2 o Common Criteria EAL 4+, la CA emette il certificato sulla base di un’attestazione da quel dispositivo.
3. Servizio di firma cloud HSM. La chiave privata viene generata e conservata in un cloud HSM gestito dalla CA, come DigiCert KeyLocker, la firma cloud Sectigo, o SSL.com eSigner. Nessun token fisico da spedire, e la firma si integra facilmente nelle pipeline CI/CD.

Un token USB è la soluzione più semplice per la firma manuale occasionale; la firma cloud si adatta meglio alle build automatizzate. Tutte e tre le modalità condividono la stessa Public Key Infrastructure (PKI): il certificato associa la tua identità verificata a una chiave pubblica, l’hardware protegge la chiave privata, e la firma digitale risultante è ciò che Windows verifica.

I passaggi di configurazione sono disponibili nei nostri tutorial sul code signing.

A partire dal 1° marzo 2026, i certificati pubblicamente attendibili hanno una validità massima di 460 giorni (circa 15 mesi), rispetto al precedente massimo di 39 mesi. La modifica deriva dal CA/Browser Forum Ballot CSC-31. Gli ordini pluriennali sono ancora disponibili, ma il certificato stesso viene riemesso all’interno del periodo acquistato anziché coprirlo interamente.

Cosa significa a livello di ordine:

• Un singolo nuovo certificato ha una validità massima di circa 15 mesi
• Gli ordini da 2 e 3 anni rimangono disponibili, con riemissione durante il periodo
• Gli ordini installati su HSM possono coprire l’intero periodo acquistato ma richiedono la riemissione annuale
• I certificati emessi prima del 1° marzo 2026 rimangono validi fino alla loro scadenza originale

Il codice correttamente marcato con timestamp rimane attendibile oltre la scadenza del certificato, quindi il software già firmato e distribuito non è interessato. Cambia solo la cadenza di rinnovo.

SSL Dragon offre opzioni di quattro Certificate Authority. Ecco come si confrontano le opzioni OV ed EV in termini di prezzo di partenza, consegna hardware e tempi di emissione.

Comodo e Sectigo OV partono entrambi da $219/anno e sono le opzioni pubblicamente attendibili più economiche in questa pagina. DigiCert si posiziona nella fascia premium, a $400 per OV e $685 per EV, ed è solitamente scelto da acquirenti i cui contratti o framework di conformità nominano specificamente DigiCert. GoGetSSL è la scelta conveniente al livello EV a $369/anno. Tutte e quattro le CA spediscono token hardware, con DigiCert che offre anche la firma cloud KeyLocker per flussi di lavoro senza HSM fisico.

Nessuna Certificate Authority pubblicamente attendibile offre code signing gratuito nel 2026.

Due costi reali lo rendono impraticabile:

1. La CA deve verificare l’identità del publisher (organizzazione o privato)
2. Dal giugno 2023 la chiave privata deve risiedere su hardware conforme FIPS, che qualcuno deve pagare

I certificati auto-firmati possono essere generati con OpenSSL e non costano nulla, ma Windows, macOS e i browser non si fidano di essi, quindi lasciano invariato l’avviso “Autore sconosciuto”. Se il prezzo è il fattore determinante, Comodo Code Signing e Sectigo Code Signing OV (o Individual Validation per sviluppatori indipendenti) sono i prodotti entry-level a $219/anno.

Un certificato di qualsiasi CA disponibile su SSL Dragon puo firmare:

• Binari e programmi di installazione Windows: file .exe, .dll, .cab, .ocx, .msi e .xap firmati tramite Microsoft Authenticode
• Driver Windows: driver in modalita utente (OV o EV) e driver in modalita kernel (solo EV)
• Applicazioni Java: file .jar firmati con jarsigner
• Script e macro: script PowerShell, VBScript e macro VBA di Microsoft Office
• Altri formati: pacchetti Adobe AIR, file oggetto Mozilla e Microsoft Silverlight (legacy ma ancora validi)
• Firmware e software IoT
• Container e pacchetti software

Lo stesso certificato copre la maggior parte degli elementi dell’elenco sopra; il caso dei driver in modalita kernel e l’unico che richiede il livello EV.

Un certificato SSL/TLS cifra la connessione tra un browser e un sito web. Un certificato di code signing firma digitalmente il software in modo che il sistema operativo possa verificare chi lo ha pubblicato e che il file non sia stato modificato.

I due non sono intercambiabili: uno protegge un dominio, l’altro certifica l’origine di un eseguibile. Entrambi sono certificati X.509 emessi da una Certificate Authority, ed e per questo che vengono spesso confusi.