Toekomstige trends in Enterprise Code Signing. Waarop moeten we letten?

Codeondertekening is een cruciale stap in de huidige zero-trust-wereld voor het waarborgen van de integriteit van infrastructuur en software. Correct uitgevoerd, garandeert codeondertekening dat alleen de juiste personen en middelen toegang hebben tot het ondertekenen van code, en dat de handtekening gebruikers en apparaten in staat stelt te bepalen welke software ze wel en niet kunnen vertrouwen.

Het implementeren van de juiste methoden voor codeondertekening om het gewenste eindresultaat te bereiken is natuurlijk makkelijker gezegd dan gedaan, zoals met alles in de beveiligingsindustrie het geval is. Om inbreuken en bedreigingen voor de toeleveringsketen te voorkomen , blijft het correct uitvoeren ervan een topprioriteit op het gebied van beveiliging, en de praktijk blijft zich ontwikkelen. Hieronder lees je wat er daadwerkelijk is veranderd sinds dit artikel voor het eerst werd geschreven, en waar je in de toekomst op moet letten.

Wat is Enterprise Code Signing?

De methode van " codeondertekening " houdt in dat uitvoerbare bestanden en scripts (zowel software als firmware) digitaal worden ondertekend om het auteurschap van de software te verifiëren. Codeondertekening maakt gebruik van cryptografische hashing om de geldigheid te bevestigen en de integriteit van de code te garanderen door te controleren of deze na publicatie niet is gewijzigd.

Simpel gezegd: we ondertekenen de code omdat we niet het risico willen lopen dat deze opzettelijk wordt beschadigd. Software is ongelooflijk belangrijk voor ons. Software-integriteit is daarom een ​​van onze belangrijkste aandachtspunten. Een beschadigd of "gekraakt" programma kan leiden tot:

• Verliezen in fondsen
• Menselijke slachtoffers
• Onzekerheid in de politiek
• Reputatieschade
• Andere grote rampen

Wat is een Enterprise Code Signing-certificaat?

Een codeondertekeningscertificaat is een digitaal certificaat dat wordt uitgegeven door een certificeringsinstantie en informatie bevat die een bedrijf volledig identificeert. Een publieke sleutel is wiskundig gekoppeld aan een privésleutel en is via een digitaal certificaat verbonden aan de identiteit van een organisatie. De term 'public key infrastructure' (PKI) verwijst naar het gebruik van zowel private als publieke sleutelsystemen. De eindgebruiker gebruikt de publieke sleutel van de ontwikkelaar om de identiteit van de ontwikkelaar te bevestigen nadat de ontwikkelaar de code met zijn privésleutel heeft ondertekend.

Het digitale certificaat is bestemd voor het specifieke gebruik van code die digitaal is ondertekend; in PKI staat dit bekend als sleutelgebruik. Wanneer een digitale handtekening wordt gebruikt, wordt een tijdstempel toegevoegd. Dankzij deze tijdstempelfunctie is de ondertekende code gegarandeerd geldig tot lang nadat het digitale certificaat is verlopen. Zelfs als het digitale certificaat waarmee de code is ondertekend, in eerste instantie verloopt, is een nieuwe handtekening niet vereist, tenzij u meer code toevoegt of wijzigingen aanbrengt in de bestaande code.

Voorbeelden van codeondertekening

• Onder MS WindowsU kunt alleen ondertekende PowerShell-scripts uitvoeren, ondertekende bibliotheken laden en ondertekende programma's uitvoeren via softwarebeperkingsregels. Code die niet is ondertekend, wordt nooit uitgevoerd.
• Op mobiele apparatenIn de regel moet alle software ondertekend zijn.
• OS-stuurprogramma'sZe zijn allemaal op elk platform ondertekend.
• Java Virtual MachineHet controleren van codeondertekeningen kan verplicht worden gesteld; zo moeten applets bijvoorbeeld ondertekend zijn.
• Open-source archieven en pakkettenCodeondertekening zorgt voor de authenticiteit, integriteit en beveiliging die vereist zijn voor software die binnen de open-sourcegemeenschap wordt verspreid.
• POS-terminals en andere extreem veilige apparatenAlleen ondertekende code mag worden uitgevoerd.
• Software voor medische en luchtvaartapparatuur is ondertekend.

Op industrieel of vitaal niveau zijn er diverse toepassingsscenario's waarin codeondertekening een cruciale rol speelt, waaronder e-overheid, e-banking, de productie van het Internet of Things (IoT) en energiecentrales.

Verschillende soorten codeondertekeningscertificaten

Voor gebruik in een publieke sector zijn codeondertekeningscertificaten beschikbaar als organisatievalidatiecertificaten (OV), ook wel standaardcertificaten genoemd, en als uitgebreide validatiecertificaten (EV).

Extended Validation (EV) Code Signing-certificaten

Ze bieden alle voordelen van digitaal ondertekende code, plus een strenge controleprocedure, wat de acceptatie en het vertrouwen vergroot. Hierdoor kunnen uw gebruikers nog meer vertrouwen hebben in de betrouwbaarheid van uw applicaties.

Voordelen van een EV-codeondertekeningscertificaat:

• Twee-factor-authenticatieEV-certificaten worden standaard geleverd met een hardwarematig beveiligde privésleutel, wat naast het certificaat zelf een extra authenticatiefactor biedt.
• Tijdsgevoelige ondertekeningUw handtekening blijft geldig, zelfs na de oorspronkelijke EV-vervaldatum. certificaat voor codeondertekening De geldigheidsduur van de handtekening is verlopen, door een optionele tijdstempel toe te voegen. Zonder tijdstempel vervalt uw handtekening samen met het certificaat, waardoor een nieuwe codehandtekening nodig is.
• SmartScreen voor Microsoft Defender: Verkrijg automatisch de vertrouwde status in het Microsoft Defender SmartScreen®-reputatiefilter, waardoor waarschuwingen worden verminderd en de merkreputatie en het gebruikersvertrouwen worden versterkt.
• Platformcompatibiliteit voor alle typenUw certificaat hoeft niet opnieuw te worden uitgegeven om code te ondertekenen voor een ander platform (zoals Authenticode, Kernel Mode, enz.).

Organisatie Validatie (OV) Code Signing Certificaat

Organisaties zoals software-uitgeverijen die hun softwareapplicaties willen ondertekenen met een gecertificeerde organisatie-identiteit, kunnen het beste een OV-codeondertekeningscertificaat gebruiken. Teams die ondertekenen met een gemeenschappelijke organisatie-identificatie profiteren het meest van het gebruik van een OV-codeondertekeningscertificaat.

Organisatieauthenticatie is de eerste vereiste voor het verkrijgen van een Organization Validated Code Signing-certificaat. Hierbij probeert de certificeringsinstantie (CA) te bevestigen dat uw bedrijf een echt, bestaand bedrijf is met juridische status op de locatie waar het geregistreerd staat.

Wat is organisatie-authenticatie precies?

Het klopt wat er staat met betrekking tot de authenticatie-eis voor organisaties: de certificeringsinstantie (CA) bevestigt dat uw organisatie een naar behoren geregistreerde onderneming is. Als uw gegevens actueel zijn, zouden er geen problemen moeten zijn. Houd er echter rekening mee dat u ervoor moet zorgen dat al uw registratiegegevens correct zijn als uw bedrijf handelsnamen, fictieve namen of handelsnamen gebruikt.

Normaal gesproken kan de CA dit bevestigen met behulp van een online overheidsdatabase. Raak niet in paniek als de CA geen toegang heeft tot een dergelijke database, bijvoorbeeld omdat uw database geen actuele gegevens bevat of helemaal geen database aanbiedt; er zijn alternatieve manieren om aan deze criteria te voldoen:

• Officiële registratiedocumentenDe CA accepteert ook officiële bedrijfsdocumenten die bewijzen dat uw organisatie een legitieme rechtspersoon is.
• Dun & BradstreetDun & Bradstreet is een bedrijf dat financiële rapporten over andere organisaties opstelt.
• Juridische Opinie BriefEen document waarin een advocaat of accountant in wezen de authenticiteit van uw organisatie bevestigt.

OV- versus EV-codeondertekeningscertificaten: een vergelijking naast elkaar

Er is één ding veranderd sinds de eerste vergelijking tussen OV- en EV-certificaten: sinds 1 juni 2023 schrijven de bijgewerkte Code Signing Baseline Requirements van het CA/Browser Forum hardwarebeveiligde, niet-exporteerbare privésleutels (FIPS 140-2 Level 2 of Common Criteria EAL 4+) voor voor zowel OV- als EV-codeondertekeningscertificaten, en niet alleen voor EV. De onderstaande tabel geeft deze huidige basislijn weer.

criteria	OV-code ondertekening	EV Code-ondertekening
Identiteitsverificatie	Organisatieauthenticatie (registratie, DBA-controles)	Uitgebreide screening: controle op juridische, fysieke en operationele aspecten van het bestaan.
Opslag van privésleutels (sinds juni 2023)	Verplichte hardwarematige cryptografische module (HSM of token)	Verplichte hardwarematige cryptografische module (HSM of token)
Maximale geldigheidsduur (vanaf maart 2026)	460 dagen	460 dagen
SmartScreen reputatie	Bouwt geleidelijk op naarmate het downloadvolume in de loop van de tijd toeneemt.	Onmiddellijke vertrouwde status
Gebruikelijke uitgiftetijd	Sneller; standaard bedrijfsverificatie	Langzamer; uitgebreidere screening
Best voor	Interne tools, kleinere ISV's, teams die onder één organisatie-identiteit werken	Breed verspreide consumentensoftware, driverondertekening, releases met hoge betrouwbaarheid

Beleid en normen die van toepassing zijn op codeondertekening

Richtlijnen en procedures voor het uitgeven en gebruiken van codeondertekeningssleutels, inclusief die over onderwerpen zoals deze, maken deel uit van een effectief codeondertekeningsbeleid.

• Sleutel uitgifteStel regels en richtlijnen op voor wie sleutels mag uitgeven en wanneer, tijdens het ontwikkelen van beheerprotocollen. Beheer de kenmerken van de verschillende soorten sleutels die worden uitgegeven en voorkom de uitgifte van nieuwe sleutels die gebruikmaken van kwetsbare algoritmen.
• SleutelbeheerConfigureer de beheermogelijkheden en protocollen voor gebruikersrollen. Wie beheert de sleutels? Welke rollen bestaan ​​er binnen teams, organisaties en verschillende productiefasen, en hoe zijn deze verdeeld? sleutelbeheerLocatietracking voor alle sleutels binnen het bedrijf moet onderdeel uitmaken van deze procedures.
• SleutelopslagHet beschermen van sleutels is noodzakelijk. Stel beperkingen en protocollen in voor zowel actieve als inactieve sleutelopslag. HSM's, tokens en toegang tot sleutels met multifactorauthenticatie moeten hier allemaal deel van uitmaken.
• OndertekeningsrechtenDe teamleden moeten weten wie bevoegd is om te tekenen en bij welke gelegenheden, en hoe ze een handtekening kunnen aanvragen als het niet hun taak is om te tekenen.
• SleutelgebruikCorrecte ondertekeningstechnieken zijn cruciaal afhankelijk van hoe sleutels wel of niet worden gebruikt. Sleutels moeten door de juiste partijen op het juiste moment worden gebruikt.
• Voorkomen van sleuteldelingZelfs binnen de interne servers, netwerken en systemen van het team mogen teamleden geen sleutels uitwisselen. Sleutels moeten worden uitgegeven, beheerd en bewaard op een unieke manier voor de rol van elke persoon.
• Doorlopende ondertekeningBeschouw het ondertekenen van code en software nooit als een omslachtig complianceproces of een bijzaak. Continue ondertekening (CS) moet onderdeel zijn van elke CI/CD-workflow om ervoor te zorgen dat codebeveiliging correct en consistent wordt toegepast.

Hoe werkt codeondertekening?

1. Selecteer uw gewenste codeondertekeningscertificaatWilt u de waarschuwing 'onbekende uitgever' in Windows Defender SmartScreen permanent verwijderen? Kies dan voor een EV-codeondertekeningscertificaat. Zoekt u een voordeligere optie? Gebruik dan een OV-codeondertekeningscertificaat. Bij OV-certificaten moet het vertrouwen geleidelijk worden opgebouwd, in tegenstelling tot EV-certificaten, die direct worden verleend.
2. Genereer een privé-publiek sleutelpaar: Sinds asymmetrische encryptie Als basis voor codeondertekening heb je een paar publieke en private sleutels nodig, die gegenereerd worden in de hardwarematige cryptografische module volgens de huidige CA/Browser Forum-regels, en niet in software.
3. Hash uw code en versleutel dezeUw code wordt door een eenrichtingshashfunctie gehaald. Als uitvoer wordt een vooraf gedefinieerde alfanumerieke hash gegenereerd, die vervolgens met uw privésleutel wordt versleuteld. Iedereen heeft in dit geval toegang tot de code, maar kan deze niet ongemerkt wijzigen.
4. Voeg een tijdstempel toeZolang het certificaat geldig was op het moment dat de code werd ondertekend, blijft de software als authentiek erkend. Dit helpt je foutmeldingen te voorkomen wanneer je certificaat uiteindelijk verloopt.
5. Onderteken uw softwareCombineer de digest, het codeondertekeningscertificaat en de hashfunctie en voeg het nieuw gevormde handtekeningblok toe aan uw uitvoerbare bestand of code.

Hulpmiddelen voor codeondertekening

Ondanks hun verschillende toepassingen werken tools voor het digitaal ondertekenen van code op een vergelijkbare manier als tools voor het digitaal ondertekenen van documenten. Een tool voor het digitaal ondertekenen van documenten (zoals DocuSign) gebruikt digitale handtekeningen om te bevestigen dat alle partijen bij een document de voorwaarden hebben geaccepteerd en dat het document sindsdien niet is gewijzigd. Met behulp van digitale handtekeningen kan een tool voor het digitaal ondertekenen van code aantonen dat software daadwerkelijk is geschreven door de beweerde ontwikkelaar en sindsdien niet is gewijzigd.

Gebruiksscenario's voor Code Signing Tool

• CodehandtekeningEen codesignatuur verifieert dat een softwareprogramma daadwerkelijk is geschreven door de persoon die beweert het te hebben gemaakt. Dit helpt bij de bescherming tegen malware die zich voordoet als legitieme software.
• Software-integriteitsvalidatieDe ondertekende gegevens mogen niet zijn gewijzigd sinds de digitale handtekening is gegenereerd, wil de transactie rechtsgeldig zijn.
• Verdediging tegen aanvallen op de toeleveringsketenAanvallen op de toeleveringsketen zoals SolarWinds Ze maken gebruik van het aanpassen van legitieme code om malware toe te voegen. Codehandtekeningen maken deze aanvallen lastiger uit te voeren, omdat de aanvaller zijn kwaadaardige code moet laten ondertekenen om geloofwaardig te zijn.

Deze voordelen moeten echter wel van toepassing zijn om de codeondertekeningsprocedure veilig te laten verlopen. Als een aanvaller erin slaagt ondertekeningssleutels te bemachtigen of een bedrijf te overtuigen om hun kwaadaardige code te ondertekenen, zal de kwaadaardige code legitiem lijken voor gebruikers. Dit is precies de druk die de trends in het volgende hoofdstuk aandrijft.

Waar gaat codeondertekening naartoe: concrete trends voor 2026 en verder?

De bovenstaande basisprincipes zijn niet veranderd, maar de druk om ze goed toe te passen is toegenomen. Vier ontwikkelingen hervormen momenteel de manier waarop bedrijven code ondertekenen.

Hardwarematige sleutels zijn nu verplicht, niet langer optioneel.

Sinds 1 juni 2023 vereisen de bijgewerkte Code Signing Baseline Requirements van het CA/Browser Forum dat zowel de privésleutels van OV- als EV-codeondertekeningscertificaten worden gegenereerd en opgeslagen in een hardwarematige cryptografische module die is gecertificeerd volgens FIPS 140-2 Level 2 of Common Criteria EAL 4+, waarbij de sleutel niet-exporteerbaar is. Wat voorheen een onderscheidend kenmerk was dat alleen voor EV-certificaten gold, is nu de minimumvereiste voor elk publiekelijk vertrouwd codeondertekeningscertificaat, of dat nu een fysieke USB-token of een netwerk-HSM is.

Aanvallen op de toeleveringsketen maken ondertekening en herkomstbewijs ononderhandelbaar.

Het dreigingsmodel achter die hardwarevereiste is niet theoretisch. Het State of the Software Supply Chain Report 2026 van Sonatype identificeerde meer dan 454,600 nieuwe kwaadaardige open-sourcepakketten in 2025, een stijging van 75% ten opzichte van het jaar ervoor (persbericht gepubliceerd op 28 januari 2026). De betrokkenheid van derden bij datalekken verdubbelde ook van 15% naar 30% in één jaar tijd , de grootste verschuiving in één jaar ooit geregistreerd in het Verizon Data Breach Investigations Report 2025. Wanneer een inbreuk plaatsvindt, is dat kostbaar: een inbreuk in de toeleveringsketen kost nu gemiddeld $ 4.91 miljoen en het duurt 267 dagen om deze te identificeren en in te dammen , de langste levenscyclus van alle inbreukvectoren die worden bijgehouden in het Cost of a Data Breach Report 2025 van IBM. Ondertekende builds met traceerbare herkomst zijn een van de weinige maatregelen die deze trend direct tegengaan.

Post-kwantumhandtekeningen komen eraan voor codeondertekeningssleutels.

Certificaten voor codeondertekening zijn tegenwoordig gebaseerd op RSA of ECDSA, die beide door het algoritme van Shor kunnen worden gekraakt zodra er een voldoende krachtige kwantumcomputer bestaat. NIST heeft ML-DSA (FIPS 204) al vastgesteld als de primaire digitale handtekeningstandaard voor het post-kwantumtijdperk, met SLH-DSA (FIPS 205) als back-up en FN-DSA (FIPS 206, gebaseerd op FALCON) nog in ontwikkeling. Ondertekende artefacten moeten, in tegenstelling tot een enkele TLS-sessie, vaak jarenlang verifieerbaar blijven, waardoor codeondertekening een van de meest urgente onderwerpen is in de discussie over de migratie naar post-kwantumcryptografie . Voordat die migratie kan worden gepland, hebben organisaties een nauwkeurige cryptografische inventarisatie nodig van precies welke ondertekeningssleutels, algoritmen en certificaten er in hun ontwikkelprocessen worden gebruikt.

SLSA en bouwprovenance worden de nieuwe standaard.

Een geldige handtekening bewijst wie een artefact heeft ondertekend; het bewijst op zichzelf niet hoe dat artefact is gebouwd. Het Supply-chain Levels for Software Artifacts (SLSA)-framework pakt dit probleem aan door naast de handtekening zelf ook verifieerbare herkomst van de build, fraudebestendige buildsystemen en broncode-integriteit te vereisen. Bedrijven die SLSA Level 3 nastreven, combineren dit doorgaans met dezelfde hardware-ondersteunde ondertekeningssleutels die het CA/Browser Forum nu verplicht stelt, aangezien een sterkere herkomstketen slechts zo betrouwbaar is als de sleutel waarmee deze is ondertekend.

De geldigheidsduur van certificaten wordt steeds korter, waardoor tijdstempelen onmisbaar wordt.

De verplichting tot hardwarematige sleutels was niet het laatste woord van het CA/Browser Forum over codeondertekening. Volgens Ballot CSC-31 is de geldigheidsduur van publiekelijk vertrouwde codeondertekeningscertificaten die op of na 1 maart 2026 worden uitgegeven, beperkt tot 460 dagen, in plaats van de voorheen geldende limiet van 39 maanden. Dit halveert ruwweg de nuttige levensduur van een certificaat en maakt het in feite verplicht om elke handtekening te voorzien van een tijdstempel: zonder een RFC 3161-tijdstempel stopt ondertekende software met verifiëren zodra het certificaat verloopt, wat nu veel eerder gebeurt dan organisaties gewend zijn. Vernieuwingscycli die gebaseerd zijn op een meerjarige cyclus zullen moeten worden aangepast naar een cyclus van minder dan een jaar om een ​​hiaat in de ondertekeningsmogelijkheden te voorkomen.

CodeSign Secure: De ultieme tool voor het ondertekenen van codes die u nodig hebt!

Encryption Consulting biedt u de beste tool voor codeondertekening die er is. CodeSign Secure , een van de meest efficiënte en gebruiksvriendelijke oplossingen voor codeondertekening, biedt verschillende soorten ondertekening voor uw verschillende toepassingen.

• Windows-ondertekening
• Jar Signer
• Open SSL-ondertekening

Met onze KSP-commandoregeltool bieden we de bovengenoemde functies onder één dak aan. Deze tool detecteert automatisch de bestandsextensie en kiest de juiste ondertekeningsmethode. Met slechts een paar invoergegevens levert KSP binnen korte tijd het ondertekende bestand terug, waardoor u een gecentraliseerde werkomgeving hebt voor al uw ondertekeningsbehoeften.

Wat onderscheidt ons bedrijf van andere bedrijven?

• We gebruiken CodeSign Secure, dat gebruikmaakt van client-side hashingDit biedt een extra beveiligingslaag. Door een bestand bij de bron te hashen, blijft de integriteit ervan behouden en krijgt de klant een duidelijk beeld van het bestand en wat er na ondertekening gebeurt.
• Het bestand is ondertekend binnen een HSMEn de sleutels worden nooit aan de buitenwereld blootgesteld, waardoor standaard aan de hardwarevereisten van het CA/Browser Forum wordt voldaan.
• Onze organisatie biedt op rollen gebaseerde toegangscontrole voor het ondertekenen van code/bestanden, waardoor de gebruiker de juiste toegang en bevoegdheden krijgt.
• Door uw ondertekende code van een tijdstempel te voorzien, voorkomt u het risico dat software onverwacht onbruikbaar wordt wanneer het codeondertekeningscertificaat verloopt.
• CodeSign Secure maakt gebruik van de nieuwste richtlijnen en standaarden voor codeondertekening en registreert de gebruikte cryptografische algoritmen voor elk ondertekend document als onderdeel van de voorbereiding op de migratie naar een tijdperk na kwantumondertekening.

Conclusie

Software wordt in de meeste aspecten van het dagelijks leven en in bedrijfskritische systemen over de hele wereld gebruikt. Daarom is het essentieel dat de code die op deze systemen wordt uitgevoerd, betrouwbaar is. Veilige codeondertekening is onmisbaar geworden, omdat applicaties met gevoelige gegevens, zakelijke transacties of operaties die de veiligheid van mensenlevens betreffen, meer vereisen dan standaard ondertekeningstechnieken. Hardwarematige sleutels zijn nu verplicht in plaats van een premiumfunctie, aanvallen op de toeleveringsketen nemen toe in alle meetbare statistieken en post-kwantumondertekeningsalgoritmen zijn al voltooid, hoewel de implementatie ervan nog in een vroeg stadium is.

Onze codeondertekeningstool, CodeSign Secure , biedt een eenvoudige en efficiënte manier om uw code te ondertekenen en uw software te beschermen. Zo voldoet uw software aan de huidige CA/Browser Forum-standaarden en is deze klaar voor de cryptografische ontwikkelingen die eraan komen. De tool is gebruiksvriendelijk en gemakkelijk in gebruik, waardoor u het vertrouwen van gebruikers vergroot, uzelf beschermt tegen malware en online aanvallen, en uw reputatie als ontwikkelaar veiligstelt.

Veelgestelde Vragen / FAQ

Vereisen OV-codeondertekeningscertificaten nu ook een hardwarebeveiligingsmodule?

Ja. Sinds 1 juni 2023 schrijven de Code Signing Baseline Requirements van het CA/Browser Forum hardwarebeveiligde, niet-exporteerbare privésleutels voor voor zowel OV- als EV-codeondertekeningscertificaten, en niet alleen voor EV zoals voorheen.

Wat is tegenwoordig het werkelijke verschil tussen OV- en EV-codeondertekeningscertificaten?

Nu hardwarematige sleutelopslag voor beide vereist is, liggen de belangrijkste verschillen in de grondigheid van de identiteitscontrole en de SmartScreen-reputatie: EV-certificaten krijgen direct een vertrouwde status, terwijl OV-certificaten geleidelijk aan reputatie opbouwen door het downloadvolume in de loop van de tijd.

Waarom zijn statistieken over aanvallen op de toeleveringsketen specifiek relevant voor het ondertekenen van code?

Sonatype identificeerde alleen al in 2025 meer dan 454,600 nieuwe kwaadaardige open-sourcepakketten, een stijging van 75% ten opzichte van het jaar ervoor, en de betrokkenheid van derden bij datalekken verdubbelde tot 30% volgens het Verizon 2025 DBIR-rapport. Codeondertekening is een van de weinige beveiligingsmaatregelen waarmee gebruikers kunnen controleren of een artefact niet is gemanipuleerd nadat het de legitieme uitgever heeft verlaten.

Zal post-kwantumcryptografie gevolgen hebben voor bestaande codeondertekeningscertificaten?

Niet direct, maar de RSA- en ECDSA-algoritmen die ten grondslag liggen aan de huidige codeondertekeningscertificaten zijn kwetsbaar voor kwantumaanvallen. NIST heeft ML-DSA (FIPS 204) definitief vastgesteld als de primaire vervangende standaard voor digitale handtekeningen, en organisaties met langdurig bewaard gebleven ondertekende documenten zouden nu al een cryptografische inventarisatie moeten starten in plaats van te wachten op een gedwongen migratie.

Wat is SLSA en hoe verhoudt het zich tot codeondertekening?

SLSA (Supply-chain Levels for Software Artifacts) is een raamwerk voor het verifiëren van hoe software is gebouwd, en niet alleen wie het heeft ondertekend. Een digitale handtekening bevestigt het auteurschap en de integriteit op het moment van ondertekening; SLSA-provenance bevestigt dat er niet is geknoeid met het bouwproces zelf. De twee worden steeds vaker samen ingezet.

Is de maximale geldigheidsduur van codeondertekeningscertificaten recentelijk gewijzigd?

Ja. Volgens stembiljet CSC-31 is de geldigheidsduur van certificaten die op of na 1 maart 2026 worden afgegeven, beperkt tot 460 dagen, in plaats van de vorige maximale geldigheidsduur van 39 maanden. Dit maakt het essentieel om elke handtekening van een tijdstempel te voorzien, aangezien certificaten nu ongeveer elke 15 maanden verlopen in plaats van elke 3 jaar.

Voldoet CodeSign Secure aan de huidige hardwarevereisten van het CA/Browser Forum?

Ja. CodeSign Secure ondertekent standaard binnen een HSM, waardoor privésleutels tijdens de ondertekeningsbewerking nooit de hardware verlaten. Dit voldoet aan de FIPS 140-2 Level 2 (of hogere) vereiste die het CA/Browser Forum nu stelt voor alle publiekelijk vertrouwde codeondertekeningscertificaten.