每起網路犯罪造成的平均損失是 $197 美元,因此從網際網路下載可執行檔時,人們都得小心翼翼也就不足為怪了。
也就是說,您值得採取一切措施來取得人們的信任,包括:線上發佈意味著您可以更快地發佈軟體更新、拓展您的潛在客戶群,並且由於無需實體郵件或生產光碟與包裝,您將可大幅降低成本。身為程式碼的作者,提供 可驗證的證明 表明自己的身分,以及您的程式碼未被損壞或帶有惡意程式是一件很簡單的事。事實上,許多第三方發行者和行動網路供應商 現在都會堅持 進行程式碼簽章,以保護他們的使用者。
程式碼簽章流程與 SSL/TLS 憑證所使用的流程類似,它會使用一對密碼編譯金鑰,包括一個公開金鑰和一個私密金鑰,以識別和驗證您和您的程式碼。獲得私密金鑰最好也最安全的方法是使用來自可信任的憑證授權中心 (CA) 如DigiCert所提供的憑證,此類授權中心會引導您完成整個驗證流程。獲得您的憑證後,您就可以產生您的私密金鑰了。CA 的選擇至關重要,因為它會影響到您發佈軟體的範圍。例如:DigiCert可提供各種桌面和行動平台的憑證,包括 Windows Phone 和 Android。
然後,您可以使用此私密金鑰對您的可執行檔或軟體庫進行簽章,私密金鑰僅可透過公開金鑰解鎖,並可追踪至 CA。公開金鑰則預先安裝在大多數的瀏覽器上。當簽章過的程式碼被篡改時,公開金鑰將無法驗證您的私密金鑰簽名的真偽,瀏覽器將對嘗試下載的人員彈出警告。若程式碼保持原封不動,則您的檔案將被無縫傳送並下載。就是這麼簡單。
在 Twitter 上 @Threatintel 掌握威脅情報
在 YouTube 頻道上收看影片,瞭解 DigiCert Website Security