Certificat DigiCert Code Signing EV

Utilisation recommandée du certificat

Code Signing EV est le choix idéal partout où il ne suffit pas de « simplement » signer une application, mais qu'il est nécessaire de prouver l'identité de l'éditeur au plus haut niveau possible. Cela concerne typiquement les fabricants de matériel et les développeurs de pilotes pour Windows (appareils, clients réseau et VPN, logiciels de sécurité et de virtualisation), pour lesquels le certificat EV est une condition de collaboration avec Microsoft. Il en va de même pour les entreprises de logiciels fournissant aux corporations, aux banques et à l'administration publique, où les clients exigent souvent une signature EV dans leurs politiques de sécurité, ainsi que pour tous les développeurs dont la marque est une cible attrayante pour les attaquants diffusant des logiciels malveillants sous un faux nom.

Qu'est-ce qu'un certificat de signature de code EV ?

EV (Extended Validation) représente le niveau de vérification le plus strict. Avant d'émettre le certificat, DigiCert vérifie conformément aux règles obligatoires du CA/Browser Forum non seulement l'existence de l'entreprise dans le registre du commerce, mais aussi son adresse physique et ses activités opérationnelles réelles, l'identité et l'autorisation de la personne passant la commande du certificat, ainsi que l'approbation de la commande par le représentant responsable de l'entreprise. Les informations vérifiées – telles que la juridiction, le numéro d'identification et le type d'organisation – font partie intégrante du certificat, permettant à quiconque de vérifier dans les détails de la signature avec quelle entreprise il traite.

Les grands développeurs de logiciels font souvent face à des tentatives de piratage d'applications ou de diffusion du code malveillant sous leur marque. Le vol d'un certificat Code Signing avec sa clé privée non sécurisée est un phénomène assez courant. Un hacker peut signer son code malveillant aussi facilement comme un développeur certifié.

Avantages d'un certificat de signature de code EV

Le principal avantage pratique du certificat EV est l'accès à la signature des pilotes pour Windows. Les pilotes en mode noyau (kernel-mode) pour Windows 10 et 11 sont actuellement signés via le portail Hardware Dev Center de Microsoft. Pour que votre entreprise puisse soumettre des pilotes pour la signature (attestation signing) ou pour la certification dans le cadre du Windows Hardware Compatibility Program (WHCP), elle doit avoir un certificat de signature de code EV associé à son compte. Un certificat OV standard ou les services de signature cloud ne répondent pas à cette exigence.

Un autre avantage est la fiabilité maximale de l'identité de l'éditeur. Le certificat EV démontre qu'une entreprise bien vérifiée et réellement existante se trouve derrière l'application. Cela est apprécié lors des livraisons dans des environnements avec des exigences de sécurité strictes, lors des audits de sécurité, et dans les appels d'offres où les clients exigent souvent une signature EV.

Le troisième grand avantage est la sécurité accrue d'utilisation. Le certificat et sa clé privée sont stockés sur un token usb que vous recevrez de Digicert, ou éventuellement dans le HSM cloud DigiCert KeyLocker.

Pourquoi devriez-vous stocker votre certificat Code Signing et la clé privée sur un token USB ? Parce qu'en stockant le certificat avec la clé privée sur le disque dur de votre ordinateur, un pirate peut voler vos données confidentiels et signer son application avec votre certificat.

Le certificat Code signing EV et sa clé privée sont stockés sur le token et protégés par un mot de passe. Un pirate potentiel devrait voler non seulement votre token USB physiquement, mais aussi connaître votre mot de passe.

L'ajout de la signature numérique demande une insertion du token, le mot de passe et la clé privée. Vous devez faire attention à ce que la saisie du mot passe soit correcte - si vous fournissez un mot de passe incorrect 5 fois de suite, le token sera bloqué et le certificat définitivement supprimé.

Un certificat Code Signing EV offre le plus haut niveau de vérification de l'éditeur, la possibilité de signer des pilotes pour Windows et protège le propriétaire du certificat contre le vol et l'utilisation abusive du certificat. Il offre également à vos utilisateurs un processus de téléchargement fluide et non interrompu et vous renforcerez la réputation de votre organisation en tant que source fiable

Plateformes

Le certificat Code Signing est pris en charge par diverses plateformes de développement. Voici une liste des plateformes les plus courantes :

• Microsoft Authenticode

  Le certificat peut signer les fichiers .exe, .cab, .dll, .ocx, .msi, .xpi, et .xap. et il est indispensable pour obtenir la certification Microsoft Windows Logo.

• Java

  Le certificat peut signer les fichiers .jar et il est pris en charge par Java Runtime Environment (JRE).

• Microsoft Office et VBA

  Le certificat peut signer des projets adaptés pour Microsoft Office et des applications des parties tierces utilisant VBA.

• Adobe AIR

  Le certificat peut signer les fichiers .air ou .airi. et il est indispensable pour toutes les applications basées sur AIR.

• Android

  Le certificat peut signer les fichiers .apk pour la plateforme Android.

• Microsoft Windows Phone

  Le certificat peut signer le code pour Windows Phone et Xbox 360. La signature est indispensable pour les applications Microsoft App Hub.

• Qualcomm BREW

  Le certificat peut signer les applications BREW.

Avez-vous des questions ?

N'hésitez pas à contacter notre service client, qui vous conseillera et vous aidera.