Vad är ett kodsigneringscertifikat?

Publicerad: januari 2025 | Uppdaterad: augusti 2026

Ett kodsigneringscertifikat är ett digitalt certifikat som en programvaruutgivare använder för att signera kod digitalt, så att operativsystem, webbläsare och säkerhetsverktyg kan verifiera vem som publicerade den och bekräfta att koden inte har ändrats sedan den signerades.

Ett kodsigneringscertifikat låter en utgivare bifoga en digital signatur till en applikation, ett skript, en drivrutin eller en firmware-avbildning. Signaturen bevisar att koden kommer från certifikatinnehavaren och inte har ändrats sedan signeringen. Certifikatutfärdare utfärdar kodsigneringscertifikat vid organisationsvalidering (OV) eller utökad validering (EV), och sedan den 1 juni 2023 kräver CA/Browser Forum att varje privat nyckel för kodsignering, OV eller EV, genereras och lagras på en certifierad hårdvarukryptomodul snarare än i programvara.

Key Takeaways

• Ett kodsigneringscertifikat binder en utgivares verifierade identitet till den kod den signerar, så att operativsystem och antivirusmotorer kan bekräfta äkthet och integritet innan en användare kör programvaran.
• Certifikatutfärdare utfärdar två valideringsnivåer för kodsignering: Organisationsvalidering (OV) och Utökad validering (EV). Det finns inget domänvaliderat kodsigneringscertifikat.
• Sedan den 1 juni 2023 kräver CA/Browser Forum Baseline Requirements att alla privata nycklar för kodsignering, OV och EV, genereras och lagras på en hårdvarukryptomodul som är certifierad enligt minst FIPS 140-2 nivå 2 eller Common Criteria EAL 4+.
• Att tidsstämpla en signatur håller den giltig även efter att certifikatet självt har löpt ut, vilket är viktigt för programvara som finns kvar i fält i åratal.
• Stöld av privata nycklar, inte svag kryptografi, är den vanligaste orsaken till kodsigneringsincidenter. ASUS Live Update-attackerna och liknande attacker i leveranskedjan härrörde båda från stulna signeringsnycklar, och GitGuardians rapport om State of Secrets Sprawl från 2026 fann att 28.65 miljoner nya hårdkodade hemligheter exponerades på den offentliga GitHub enbart under 2025, en ökning med 34 % jämfört med föregående år.

Vad är ett kodsigneringscertifikat?

Ett kodsigneringscertifikat är mekanismen bakom indikatorn "betrodd utgivare" som en användare ser när de installerar programvara. Utgivarens privata nyckel signerar en kryptografisk hash av koden; certifikatet innehåller den matchande publika nyckeln och utgivarens verifierade identitet. När en enhet installerar programvaran beräknar den om hashen, kontrollerar signaturen mot certifikatet och leder certifikatkedjan tillbaka till en betrodd rot innan installationen tillåts fortsätta utan varningar.

Kodsigneringscertifikat utfärdas av offentliga certifikatutfärdare som DigiCert, Sectigo och GlobalSign, i enlighet med CA/Browser Forums grundläggande krav för kodsigneringscertifikat.

Kodsigneringscertifikat kontra SSL/TLS-certifikat

Dessa är de två certifikattyper som oftast förväxlas med varandra, eftersom båda utfärdas av en CA och båda autentiserar något. Tabellen nedan visar vad var och en faktiskt verifierar.

Aspect	Kodsigneringscertifikat	SSL/TLS-certifikat
Vad det verifierar	Programvaruutgivarens identitet och att koden inte har ändrats	En webbplats identitet och krypterar trafik till den
Valideringsnivåer	OV, EV (ingen DV)	DV, OV, EV
Privat nyckellagring	Certifierad HSM eller token obligatorisk sedan juni 2023	Inget universellt HSM-mandat på den privata nyckeln
Typisk validitet	1–3 år, kan förlängas på obestämd tid via tidsstämpling	För närvarande upp till 398 dagar, krymper till 47 dagar i mars 2029
Var det är kontrollerat	Vid installation eller körning, av operativsystemet eller antivirusmotorn	Vid varje HTTPS-anslutning, av webbläsaren

Hur kodsignering fungerar

Signering och verifiering av kod följer samma grundläggande sekvens varje gång:

• Utgivaren genererar en hash av koden (applikationen, skriptet eller firmware-avbildningen).
• Utgivarens privata nyckel, som förvaras på en HSM eller token, krypterar den hashen för att skapa den digitala signaturen.
• Signaturen och kodsigneringscertifikatet är inbäddade i eller bifogade programvarupaketet.
• Valfritt kan en tidsstämpelutfärdare medsignera paketet så att signaturen förblir giltig efter att certifikatet har löpt ut.
• När en användare eller ett system installerar programvaran beräknar det om hashvärdet, verifierar signaturen mot certifikatets publika nyckel och kontrollerar certifikatkedjan mot en betrodd rot innan installationen tillåts.

Typer av kodsigneringscertifikat

Kodsigneringscertifikat finns i två valideringsnivåer, plus en valfri tidsstämpelfunktion som gäller för båda.

Typ	Validering utförd	Typisk användning
Standardkodsignering (OV)	Bekräftar organisationens juridiska existens och att begäranden är behörig att agera för dess räkning.	Skrivbordsprogram, drivrutiner, interna verktyg, mestadels kommersiell programvara.
EV-kodsignering	Lägger till en djupare kontroll av juridiska personer och bakgrundskontroller; historiskt aktiverat direkt SmartScreen-rykte i Windows.	Kärnlägesdrivrutiner, säkerhetsprogramvara, utgivare som behöver omedelbart förtroende utan någon period för att bygga upp sitt rykte.
Tidsstämpling (tillägg, inte en certifikattyp)	En betrodd tidsstämpelutfärdare medsignerar paketet vid signeringstillfället.	All signerad programvara som måste förbli giltig efter att signeringscertifikatet har löpt ut.

Äldre versioner av den här artikeln hänvisade till "Domänvalideringskodsigneringscertifikat". Den typen finns inte: DV är en TLS/SSL- valideringsnivå, inte en kodsigneringsnivå. Varje kodsigneringscertifikat kräver minst identitetsverifiering på organisationsnivå.

Varför kodsigneringsnycklar måste finnas på en HSM

Från och med den 1 juni 2023 kräver CA/Browser Forum att den privata nyckeln bakom varje nytt eller förnyat kodsigneringscertifikat, OV eller EV, genereras och lagras i en hårdvarukryptomodul som är certifierad enligt FIPS 140-2 nivå 2 eller Common Criteria EAL 4+ eller bättre, och att nyckeln inte kan exporteras. Certifikat som utfärdats före det datumet påverkas inte förrän nästa förnyelse.

Lagringsalternativ	Hur det fungerar
Hårdvarutoken	CA skickar en certifierad USB-token; nyckeln genereras på och lämnar aldrig token.
HSM på plats eller i molnet	Prenumeranten använder en certifierad HSM (eller en HSM-som-en-tjänst); CA verifierar efterlevnad och fjärrnyckelattestering.
Signeringstjänst	CA:n eller en betrodd leverantör innehar nyckeln i sin egen certifierade HSM och signerar för prenumerantens räkning via ett API.

Denna regel existerar eftersom stulna programvarusigneringsnycklar, inte trasig kryptografi, har orsakat de mest uppmärksammade kodsigneringsincidenterna. Att förvara nyckeln inuti en certifierad HSM innebär att den kan signera kod men aldrig kopieras ut och användas någon annanstans.

Kodsignering i CI/CD-pipelines

De flesta team signerar nu kod automatiskt i sin byggpipeline snarare än som ett manuellt steg före lansering.

• Automatiserad signering. Varje version i Jenkins, GitHub Actions eller Azure DevOps anropar ett signeringssteg innan artefakter publiceras, vilket eliminerar manuell hantering av den privata nyckeln.
• Klientsidig hashning. Endast filhashen skickas till HSM eller signeringstjänsten för signering, inte hela artefakten, vilket håller stora byggen snabba.
• Åtkomstkontroll och granskning. Rollbaserad åtkomstkontroll (RBAC) begränsar vem eller vad som kan utlösa en signatur, och varje signeringshändelse loggas för efterlevnad.
• Kartläggning av efterlevnad. En komplett signeringslogg stöder ramverk som NIST-vägledning, PCI DSS och interna policyer för programvaruleveranskedjan, och är i linje med ramverk som Googles SLSA och Microsofts S2C2F.

Risker med kodsignering och hur man minskar dem

Risklandskapet bakom dessa åtgärder växer snabbt: Sonatype identifierade över 454 600 nya skadliga öppen källkodspaket enbart under 2025, en ökning med 75 % jämfört med föregående år , enligt rapporten från den 28 januari 2026, och tredjepartsinblandning i dataintrång fördubblades från 15 % till 30 % på ett enda år , enligt Verizons rapport om dataintrångsutredningar från 2025.

Risk	Mitigation
Stöld eller missbruk av privat nyckel	HSM-baserad lagring, RBAC och nyckelrotation så att en stulen autentiseringsuppgift inte kan signera kod.
Nyckelspridning över team och pipelines	Centralisera signering via en enda plattform med en realtidsnyckel- och certifikatinventering.
Skadliga insiders eller komprometterade byggservrar	Oföränderliga, granskade byggmiljöer och godkännandearbetsflöden innan en signatur utfärdas.
Utgångna certifikat bryter mot äldre programvara	Tidsstämpla varje signatur så att den förblir giltig även efter att certifikatet har löpt ut.

Hur kan krypteringskonsulting hjälpa till?

Encryption Consultings CodeSign Secure är en säker och flexibel lösning för kodsignering på flera operativsystem, nämligen Windows, Linux, macOS och Docker-containrar. CodeSign Secure skyddar digitala enheter från skadlig programvara genom digital kodsignering och skyddar dem från ändringar under transport, vilket utgör en viktig del av säkerheten i dagens digitaliserade värld. FIPS 140-2 Level 3-certifierad HSM-lagring håller privata nycklar icke-exporterbara, och inbyggt stöd för NIST-godkända post-kvantumsigneringsalgoritmer, ML-DSA och LMS, låter organisationer börja signera med kvantresistenta algoritmer idag snarare än att vänta på att övergången ska bli brådskande.

CodeSign Secure gör det möjligt för en organisation att säkra information medan den överförs. Det gör det också möjligt för kodens mottagare att ge ytterligare förtroende genom att veta att koden är intakt och original på alla plattformar.

Slutsats

Certifikat för kodsignering är avgörande för att utveckla programvara som är säker och tillförlitlig. Genom att välja rätt certifikatkategori, känna till skillnaden mellan offentligt förtroende och privat förtroende, och integrera kodsignering i din DevOps-pipeline, förbättrar du också säkerheten och tillförlitligheten för din programvara.

Att följa regler är en sak, men att ingjuta förtroende hos dina användare och skydda deras applikationer mot alla former av manipulering är en annan. Sammantaget förbättrar kodsignering säkerhetsnivån för alla program och programvara som skapas för användarna.

Vanliga frågor om partihandel med mat och dryck

Vad är skillnaden mellan ett kodsigneringscertifikat och ett SSL/TLS-certifikat?

Ett SSL/TLS-certifikat autentiserar en webbplats och krypterar trafik mellan en webbläsare och en server. Ett kodsigneringscertifikat autentiserar utgivaren av en programvara och bevisar att koden inte har ändrats. Båda är digitala certifikat utfärdade av en CA, men de verifierar olika saker och är inte utbytbara.

Behöver jag ett kodsigneringscertifikat för elbilar?

De flesta utgivare kan använda ett standard OV-kodsigneringscertifikat. EV är värt den extra verifieringen för kernellägesdrivrutiner eller säkerhetsprogramvara där en antivirusleverantör eller Microsoft Windows kräver den striktare identitetskontrollen, eller där en utgivare vill ha den djupaste tillgängliga nivån av identitetssäkring.

Kan jag lagra min privata nyckel för kodsignering i programvara istället för en HSM?

Nej. Sedan den 1 juni 2023 kräver CA/Browser Forum-reglerna att varje nytt eller förnyat kodsigneringscertifikats privata nyckel genereras och lagras i en certifierad hårdvarukrypteringsmodul (FIPS 140-2 nivå 2 eller Common Criteria EAL 4+ eller bättre). Offentliga CA:er kommer inte att utfärda ett certifikat för en enbart programvarunyckel.

Vad är tidsstämpling i kodsignering?

Tidsstämpling lägger till en betrodd, oberoende verifierbar tidpunkt till en kodsignatur. Det gör att en signatur förblir giltig även efter att signeringscertifikatet har löpt ut, så att programvara som signerades för flera år sedan fortfarande kan verifieras som legitim vid tidpunkten för signeringen.

Hur länge är ett kodsigneringscertifikat giltigt?

Kodsigneringscertifikat omfattas inte av CA/Browser Forums krympande TLS-giltighetsschema. De flesta CA:er utfärdar dem i ett till tre år, och tidsstämpling bevarar signaturens giltighet efter det utgångsdatumet.

Varför finns det inget domänvaliderat (DV) kodsigneringscertifikat?

Domänvalidering bekräftar endast kontroll över ett domännamn, vilket inte har någon betydelse för vem som publicerade en programvara. Kodsigneringscertifikat kräver alltid identitetsverifiering på organisationsnivå som minimum (OV eller EV), vilket är anledningen till att DV, en valideringsnivå endast för TLS/SSL, aldrig utökades till kodsignering.

Vad händer om ett kodsigneringscertifikat komprometteras?

Den utfärdande certifikatutfärdaren återkallar certifikatet, och all programvara som signerats med det blir opålitlig såvida den inte tidsstämplades före komprometteringen. Angripare som får tag på en stulen signeringsnyckel kan signera skadlig kod som verkar helt legitim, vilket är anledningen till att HSM-baserad nyckellagring är viktigare än nästan alla andra kontroller inom detta område.

Vilka certifikatutfärdare utfärdar kodsigneringscertifikat?

Offentliga CA:er, inklusive DigiCert, Sectigo och GlobalSign, utfärdar kodsigneringscertifikat enligt CA/Browser Forums grundläggande krav för kodsigneringscertifikat. Organisationer kan också driva en privat CA för internt distribuerad programvara som inte behöver allmänhetens förtroende.

Hur hjälper CodeSign Secure till att uppfylla HSM-kravet för kodsigneringsnycklar?

CodeSign Secure lagrar varje privat nyckel i en FIPS 140-2 nivå 3-certifierad HSM, vilket överträffar CA/Browser Forums nivå 2-minimum, och låter aldrig nyckeln lämna hårdvaran. Den stöder också NIST-godkända post-kvantumsignaturalgoritmer (ML-DSA och LMS) för organisationer som förbereder signeringsinfrastruktur för post-kvantumövergången.

Säkra din programvaruleveranskedja

Redo att flytta kodsignering från kalkylblad och delade USB-tokens? Se CodeSign Secure i aktion, eller inspektera valfritt certifikat med vår kostnadsfria ASN.1 CSR & Certificate Decoder.