¿Cómo funciona la firma de código?

El proceso de la firma de código es similar al de los certificados SSL/TLS, en el que se utiliza un par de claves criptográficas, una pública y una privada, para identificar y autenticar tanto a autores como códigos. La manera más adecuada y segura de obtener una clave privada es solicitar un certificado a una autoridad de certificación de confianza (CA), por ejemplo DigiCert, que le guiará en el proceso de autenticación. Ya que tenga el certificado, podrá generar la clave privada. Es importante la elección de la CA, pues determinará el ámbito de distribución del software. En DigiCert, proporcionamos certificados para una gran variedad de plataformas de escritorio y móviles, como Windows Phone y Android.

Después, con la clave privada proporcionada, debe firmar el archivo ejecutable o la biblioteca de software, la cual solo pueden desbloquearla claves públicas rastreables por la CA y que se instalan de forma predeterminada en la mayoría de los navegadores. Si el código se ha manipulado después de la firma, la clave pública no podrá verificar la autenticidad de la firma de clave privada y el navegador mostrará una advertencia a cualquier usuario que tenga la intención de descargarlo. Si el código se ha mantenido intacto, el archivo se distribuirá y se descargará sin ningún problema. Así de fácil.