Protection de votre propriété intellectuelle et de votre réputation par la technologie Code Signing

1. Un développeur ajoute une signature numérique au code ou au contenu à l'aide d'une clé privée unique issue d'un certificat de signature de code.

2. Lorsqu'un utilisateur télécharge ou rencontre du code signé, le logiciel ou l'application qu'il utilise déchiffre la signature à l'aide d'une clé publique.

3. Pour authentifier la signature, le système recherche un certificat "racine" avec une identité qu'il reconnaît ou considère comme fiable.

4. Il compare ensuite le hachage qui a servi à signer l'application avec le hachage de l'application téléchargée.

5. Si la racine est considérée comme fiable et que les hachages concordent, le téléchargement ou l'exécution se poursuit.

6. En revanche, si la racine n'est pas considérée comme fiable ou que les hachages ne concordent pas, le téléchargement échoue ou est interrompu avec un avertissement.

Certificats numériques auto-signés

Une autorité de certification fiable

Certificats Symantec Code Signing

• Microsoft Authenticode
• Java
• Microsoft Office et VBA
• Adobe AIR
• Windows Phone
• Authentic Document IDs pour BREW

Quel certificat Code Signing choisir ?

Symantec Code Signing prend en charge davantage de plates-formes que n'importe quel autre fournisseur de signature de code. Symantec est le fournisseur de signature de code reconnu pour les applications Windows Phone, AT&T Developer Program, Java Verified et Symbian Signed. Sélectionnez le certificat Symantec Code Signing approprié à votre plate-forme de développement : Certificats Symantec Code Signing.

Existe-t-il des certificats Code Signing pour les développeurs individuels ?

Oui. Les développeurs qui ne sont pas affiliés à une société ont un processus d'approbation légèrement différent mais tout aussi strict. Pour demander un certificat Symantec Code Signing à titre individuel, sélectionnez le certificat Code Signing approprié à votre plate-forme de développement, puis sélectionnez l'option “Individuals” (Utilisateurs individuels) pour vous inscrire.

Comment fonctionne un certificat Code Signing ?

La signature du code et du contenu repose sur la cryptographie à clé publique. Un développeur ou un éditeur de logiciels utilise une clé privée pour ajouter une signature numérique à du code ou du contenu. Les plates-formes et applications utilisent une clé publique pour déchiffrer la signature lors du téléchargement, puis elles comparent le hachage qui a servi à signer l'application avec le hachage de l'application téléchargée. Le code signé par une source de confiance peut être accepté automatiquement. Il arrive également qu'une alerte de sécurité demande à l'utilisateur final de lire les informations sur la signature pour déterminer s'il considère le code comme fiable.

Combien de temps faut-il pour se procurer un certificat Code Signing ?

Lors du processus de demande de certificat Code Signing, Symantec recueille des informations sur vous-même ou votre société à des fins d'authentification. Le processus de validation peut demander plusieurs heures ou plusieurs jours selon les informations que vous fournissez et le déroulement de la vérification. Dans la mesure où Symantec doit recevoir le paiement avant de vous livrer le certificat, un règlement par carte de crédit permet d'être livré plus rapidement.

Quelle est la durée d'une signature numérique ?

Lors de son achat, chaque certificat Code Signing présente une période de validité spécifique. Au cours de cette période de validité, le certificat numérique peut être utilisé aussi souvent que nécessaire. Une fois le certificat numérique arrivé à expiration, toutes les signatures numériques qui en dépendent expirent également, sauf si la signature comporte un horodatage. Une option d'horodatage indique la date à laquelle le code a été signé, ce qui permet au client de vérifier que le certificat Code Signing était valide au moment de la signature numérique.

Puis-je installer le certificat Code Signing sur plusieurs PC ?

Une fois récupéré, un certificat Code Signing peut être utilisé sur n'importe quel ordinateur. En revanche, vous devez acheter et récupérer votre certificat Code Signing depuis le même ordinateur. Si vous rencontrez des problèmes lors de la récupération, vérifiez que vous utilisez bien le même ordinateur, navigateur et profil de connexion que lors de l'inscription. Pour optimiser la sécurité et la gestion, Symantec recommande aux développeurs d'acheter des certificats Code Signing supplémentaires plutôt que de partager des certificats. Si un certificat est compromis et doit être révoqué, toutes les applications signées à l'aide de ce certificat sont alors désactivées.

Comment un tiers peut-il savoir que ma signature est fiable ?

La signature de votre code garantit que celui-ci n'est pas falsifié et que vous en êtes bien l'émetteur, mais ne permet pas de vérifier votre identité. Les logiciels, applications et réseaux mobiles s'appuient sur le certificat racine de l'autorité de certification émettrice pour déterminer la validité de la signature numérique. Une autorité de certification indépendante est plus fiable qu'un certificat auto-signé car le demandeur du certificat est soumis à un processus d'examen minutieux ou d'authentification. L'omniprésence du certificat racine Symantec reste inégalée. Nos certificats racine sont préinstallés sur la plupart des appareils et intégrés à la plupart des applications pour offrir aux utilisateurs finaux un processus d'installation simple et sûr.

Combien faut-il avoir de certificats Code Signing ?

Pour optimiser la sécurité et la gestion, Symantec recommande aux développeurs d'acheter des certificats Code Signing supplémentaires plutôt que de partager des certificats. Si un certificat est compromis et doit être révoqué, toutes les applications signées à l'aide de ce certificat sont alors désactivées. Symantec recommande l'achat d'un certificat Code Signing pour chaque plate-forme de développement. L'utilisation d'un même certificat sur plusieurs plates-formes exige un processus de conversion à l'aide d'outils supplémentaires.

Que se passe-t-il si je perds ma clé privée ou si elle est compromise ?

Si vous perdez votre clé privée, si elle est compromise ou que vos informations changent, vous devez immédiatement révoquer votre certificat Code Signing et le remplacer.