Сертификаты подписи кода

Существует два уровня проверки, и выбор между ними зависит от того, кто подписывает и что именно подписывается.

• OV (Organization Validation) — стандартный уровень. CA проверяет юридическое существование зарегистрированной организации и выпускает сертификат на её имя. Comodo и Sectigo также выпускают OV-эквивалентные сертификаты для проверенных физических лиц, иногда называемые Individual Validation (IV), для разработчиков-одиночек без зарегистрированной компании. OV-варианты от SSL Dragon начинаются от $219/год.
• EV (Extended Validation) требует более глубокой проверки бизнеса в соответствии с руководящими принципами EV CA/Browser Forum. Только зарегистрированные организации имеют право на получение; физические лица — нет. EV — единственный уровень, принимаемый для подписи драйверов режима ядра Windows, и многие корпоративные политики закупок и аудита требуют именно его. EV-варианты от SSL Dragon начинаются от $287/год.

Примечание о SmartScreen: обновление 2024 года в программе Microsoft Trusted Root Program изменило способ накопления репутации. Репутация SmartScreen теперь накапливается по хешу файла и объёму загрузок независимо от типа сертификата. EV больше не предоставляет мгновенного доверия SmartScreen. Подписанные бинарные файлы как OV, так и EV накапливают репутацию одинаково после их распространения.

Выбирайте OV, если вы подписываете приложения пользовательского режима и хотите более низкую ценовую категорию. Выбирайте EV, если вы подписываете драйверы режима ядра Windows, нуждаетесь в максимальном подтверждении личности или ваши требования к закупкам явно указывают на EV.

С 1 июня 2023 года CA/Browser Forum требует, чтобы закрытый ключ каждого публично доверенного сертификата генерировался и хранился на оборудовании, соответствующем FIPS 140-2 Level 2 или Common Criteria EAL 4+. Загружаемые .pfx-файлы больше не выпускаются. Покупатели выбирают один из трёх способов доставки:

1. USB-токен, отправляемый CA. CA отправляет по почте предварительно загруженный USB-токен FIPS 140-2 Level 2 (как правило, YubiKey) на проверенный адрес в заказе.
2. Собственное совместимое устройство. Если ваша команда уже использует HSM или токен, соответствующий FIPS 140-2 Level 2 или Common Criteria EAL 4+, CA выпускает сертификат на основании аттестации этого устройства.
3. Облачный HSM-сервис подписи. Закрытый ключ генерируется и хранится в управляемом CA облачном HSM, например DigiCert KeyLocker, облачной подписи Sectigo или SSL.com eSigner. Физический токен не требуется, а подпись легко интегрируется в CI/CD-пайплайны.

USB-токен проще всего подходит для редкой ручной подписи; облачная подпись лучше подходит для автоматизированных сборок. Все три способа используют одну и ту же инфраструктуру открытых ключей (PKI): сертификат связывает вашу проверенную личность с открытым ключом, оборудование защищает закрытый ключ, а полученная цифровая подпись — это то, что проверяет Windows.

Инструкции по настройке приведены в наших руководствах по подписи кода.

С 1 марта 2026 года публично доверенные сертификаты имеют максимальный срок действия 460 дней (около 15 месяцев), по сравнению с прежним максимумом в 39 месяцев. Изменение вытекает из Ballot CSC-31 CA/Browser Forum. Многолетние заказы по-прежнему продаются, однако сам сертификат перевыпускается в течение приобретённого срока, а не охватывает его целиком.

Что это означает на уровне заказа:

• Срок действия одного нового сертификата ограничен ~15 месяцами
• Заказы на 2 и 3 года по-прежнему доступны с перевыпуском в течение срока
• Заказы с установкой на HSM могут охватывать весь приобретённый срок, но требуют ежегодного перевыпуска
• Сертификаты, выпущенные до 1 марта 2026 года, остаются действительными до первоначальной даты истечения срока

Код с правильной временной меткой остаётся доверенным после истечения срока действия сертификата, поэтому программное обеспечение, которое вы уже подписали и выпустили, не затрагивается. Меняется только периодичность продления.

SSL Dragon предлагает варианты от четырёх удостоверяющих центров. Вот как соотносятся OV и EV варианты по начальной цене, способу доставки оборудования и времени выпуска.

Comodo и Sectigo OV оба начинаются от $219/год и являются самыми доступными публично доверенными вариантами на этой странице. DigiCert находится в премиальном сегменте — $400 за OV и $685 за EV — и, как правило, выбирается покупателями, чьи контракты или требования соответствия явно указывают на DigiCert. GoGetSSL — выгодный вариант на уровне EV по цене $369/год. Все четыре CA поставляют аппаратные токены, при этом DigiCert также предлагает облачную подпись KeyLocker для рабочих процессов без HSM.

По состоянию на 2026 год ни один публично доверенный удостоверяющий центр не предлагает бесплатную подпись кода.

Два реальных фактора делают это невозможным:

1. CA должен проверить личность издателя (организации или физического лица)
2. С июня 2023 года закрытый ключ должен храниться на FIPS-совместимом оборудовании, за которое кто-то должен платить

Самоподписанные сертификаты можно сгенерировать с помощью OpenSSL бесплатно, однако Windows, macOS и браузеры им не доверяют, поэтому предупреждение «Unknown Publisher» остаётся. Если цена является определяющим фактором, Comodo Code Signing и Sectigo Code Signing OV (или Individual Validation для разработчиков-одиночек) — это начальные SKU по цене $219/год.

Сертификат от любого CA, представленного в SSL Dragon, позволяет подписывать:

• Бинарные файлы и установщики Windows: файлы .exe, .dll, .cab, .ocx, .msi и .xap, подписанные через Microsoft Authenticode
• Драйверы Windows: драйверы пользовательского режима (OV или EV) и драйверы режима ядра (только EV)
• Java-приложения: файлы .jar, подписанные с помощью jarsigner
• Скрипты и макросы: скрипты PowerShell, VBScript и макросы VBA для Microsoft Office
• Другие форматы: пакеты Adobe AIR, объектные файлы Mozilla и Microsoft Silverlight (устаревшие, но по-прежнему действительные)
• Прошивки и программное обеспечение для IoT
• Контейнеры и программные пакеты

Один и тот же сертификат охватывает большинство пунктов из приведённого списка; случай с драйверами режима ядра — единственный, который требует уровня EV.

SSL/TLS сертификат шифрует соединение между браузером и веб-сайтом. Сертификат подписи кода цифровым образом подписывает программное обеспечение, чтобы операционная система могла проверить, кто его опубликовал и не был ли файл изменён.

Эти два типа не являются взаимозаменяемыми: один защищает домен, другой подтверждает происхождение исполняемого файла. Оба являются X.509 сертификатами, выпущенными удостоверяющим центром, что и является причиной путаницы.