代码签名

从 2023 年 6 月 1 日起，改进后的安全措施规定，标准代码签名证书的私钥只能存储在 FIPS 140 2 级、通用标准 EAL 4+ 或同等认证的硬件上。 这一变更符合 EV 代码签名证书的严格保护标准。 因此，证书颁发机构（CA）不再支持基于浏览器的密钥生成、CSR 创建和安装过程。 相反，在申请证书时选择 “令牌+装运 “方法将促使 CA 创建 CSR。 希望安装 HSM 的用户必须参考以下说明或相关供应商的指南。

• YubiKey 5 FIPS CSR 生成和认证
• Luna 网络附加 HSM v7.x：CSR 和认证指南

进一步了解代码签名证书交付方法。

复制链接

DigiCert/GoGetSSL 代码签名组织验证（OV）过程包括五个步骤：

1. 组织认证：CA 确认合法注册和活动状态，将信息与官方记录或提交的文件进行比较。
2. 实际地址验证：DigiCert 将企业地址与政府网站和知名目录进行交叉比对，以确保实际存在。
3. 电话号码验证：Ca 通过第三方目录或官方记录验证组织的电话号码。
4. 验证呼叫：DigiCert 代理使用经过验证的电话号码主动致电授权代表，或在需要时提供语音邮件选项。
5. 最终批准：Ca 内部审查详细信息，并在验证成功后发送电子邮件指示领取证书。

欲了解全部信息，请参阅我们关于 Digicert/GoGetSSL 证书组织验证的详尽指南。

复制链接

要以个人身份获取 GoGetSSL 代码签名证书，请按以下步骤操作：

确认身份

填写证明信，并使用网络摄像头接受视频检查。 CA 将验证您带有照片的身份证件和您的身份。 如果您没有护照，请提供两份身份证件：一份带有您的照片和姓名的官方证件，另一份带有您的姓名。

电话验证

验证电话号码的有效性和活动。 接受 Google 业务来源。

最后核实电话

与 CA 代理通电话时回答几个问题，以确认您的申请详情。

欲了解更多信息，请查看关于如何通过 GoGetSSL 代码签名证书个别验证的完整指南。

复制链接

以下是通过 Sectigo/Comodo 代码签名证书个别验证所需的步骤：

照片 ID 选项：

• 提交带照片的政府身份证件。
• 发送一张带有身份证的自拍照。
• 打开 Sectigo 机票。
• 接收案件编号。

面对面选项：

• 提供身份证和财务证明。
• 包括非财务地址文件。
• 完成个人陈述声明。
• 公证文件。
• 打开 Sectigo 机票。
• 获取案件编号。

请注意，这只是一个简明扼要的概述。 请参阅Sectigo/Comodo 代码签名证书的详细个人验证说明。

复制链接

最新的 Ca/Browser Forum 指导方针要求代码签名证书以物理 USB 令牌的形式交付，或安装在现有的硬件安全模块 (HSM) 上。 更多详情，请查阅代码签名交付方法完整指南。

Code Singing 许可证的有效期取决于证书颁发机构和您选择的交付方式。

DigiCert和GoGetSSL代码签名证书的有效期为一年，无论您使用的是 CA 提供的令牌还是自己的硬件设备。

使用 Sectigo 提供的令牌时，Sectigo/Comodo代码签名证书的有效期也为一年。只有使用自己支持的 HSM 时，才可使用多年计划（最长三年）。

复制链接

代码签名证书的有效性取决于提供商和私钥的存储位置。

DigiCert 和 GoGetSSL发行的代码签名证书有固定的一年有效期。使用 CA 提供的令牌或自己的 HSM 都没有关系。有效期总是一年。

Sectigo (Comodo)的工作方式与此不同。如果使用 CA 提供的令牌，证书的有效期也仅限一年。但如果将私钥存储在自己的 HSM 中，就可以获得有效期长达三年的证书。

复制链接

如果向用户分发软件或脚本，则应获得代码签名证书。 它将验证您的代码并防止篡改，使用户能够访问和使用您的数字产品。

复制链接

您可以创建代码签名证书，但它是自签名的，在其他系统上默认不被信任。 您应该从公共 CA 获取代码签名证书，以获得广泛的信任和认可。

复制链接

代码签名证书的费用因证书颁发机构（CA）和证书类型（组织验证或扩展验证）而异。

复制链接

签名代码仍然有效，但用户可能会看到警告或提示，表明证书已过期。 您必须获取新的代码签名证书并重新签名您的代码，以确保持续信任并避免警告信息。

复制链接