¿Cómo funciona la firma de código?

El proceso de la firma de código es similar al de los certificados SSL/TLS, en el que se utiliza un par de claves criptográficas, una pública y una privada, para identificar y autenticar tanto a autores como a códigos. La manera más adecuada y segura de obtener una clave privada es solicitar un certificado a una autoridad de certificación de confianza (CA), por ejemplo DigiCert, que le guiará en el proceso de autenticación. Cuando haya obtenido el certificado, podrá generar la clave privada. La elección de la autoridad de certificación es importante, ya que determinará el ámbito de distribución del software. En el caso de DigiCert, se proporcionan certificados para una gran variedad de plataformas de escritorio y móviles, como Windows Phone y Android.

A continuación, puede firmar el archivo ejecutable o la biblioteca de software con esta clave privada, que solo la pueden desbloquear claves públicas rastreables por la autoridad de certificación y que se instalan de forma predeterminada en la mayoría de los navegadores. Si el código se ha manipulado después de la firma, la clave pública no podrá verificar la autenticidad de la firma de clave privada y el navegador mostrará una advertencia a cualquier usuario que tenga la intención de descargarlo. Si el código se ha mantenido intacto, el archivo se distribuirá y se descargará sin ninguna clase de incidencia. Así de fácil.