Code Signing Zentrum - Unterstützung beim Signieren von Anwendungen
Kundensupportzentrum für Code Signing Zertifikate (Zertifikate zur Signierung von Code und Anwendungen). Hier finden Sie alle relevanten Informationen zum Signieren von Code und zur Verwendung von Code Signing Zertifikaten.
Code Signing Zertifikate
Zertifikate für Code-Signatur (Code signing) dienen zum Signieren von Anwendungen, die auf verschiedenen Entwicklungsplattformen erstellt wurden. Das Ziel der Code-Signatur ist nicht nur die Authentifizierung des Herausgebers, sondern hauptsächlich der Schutz der Echtheit der Anwendung und ihrer Unveränderlichkeit. Wenn jemand die Anwendung ändern würde (zum Beispiel Malware hinzufügen), wird die Signatur ungültig. Daher erfordern die meisten aktuellen Systeme entweder die Signatur der Anwendung (macOS) oder warnen stark vor dem Start einer nicht signierten Anwendung (Windows).
Code Signing EV Zertifikat
Auch für Code Signing Zertifikate bieten wir ein Zertifikat mit erweiterter Validierung an. Dessen Vorteile und die Anleitung zur Aktivierung finden Sie in den folgenden Abschnitten.
Bedeutung des Code Signing EV Zertifikats
Dessen Bedeutung liegt in der besseren Sicherheit des Zertifikats und des privaten Schlüssels. Das Zertifikat wird zusammen mit dem privaten Schlüssel auf einem Token gespeichert und kann nicht exportiert werden. Die Verwendung des Zertifikats ist durch ein Passwort geschützt und nach mehreren falschen Versuchen wird der Token gelöscht. Es handelt sich um einen hervorragenden Schutz Ihres Code Signing Zertifikats vor Missbrauch.
Ein weiterer wichtiger Vorteil des Code Signing EV Zertifikats ist die absolute Vertrauenswürdigkeit im SmartScreen-Filter, der Bestandteil von Windows ist. Durch die EV-Signatur sind Sie sicher, dass Windows Ihre Anwendung den Benutzern nicht blockiert.
Weitere Informationen über das in unserem Angebot verfügbare Code Signing Zertifikat finden Sie auf der Produktseite DigiCert Code Signing EV.
Wie man ein Code Signing EV Zertifikat erhält und aktiviert
Der gesamte Prozess der Beschaffung und Aktivierung eines Code Signing EV Zertifikats ist im Artikel Inbetriebnahme (Aktivierung) eines Code Signing EV Zertifikats beschrieben.
Wie man Software mit einem digitalen Zertifikat signiert
Zum Signieren von Anwendungen mit Code Signing benötigen Sie zwei Dinge:
- Code Signing Zertifikat
- Anwendung für die Signatur
Sie erhalten das Code Signing Zertifikat von SSLmarkt und das ist einfach. Die Signaturanwendung wählen Sie basierend auf der Plattform, auf der Sie entwickeln. Beliebte und am weitesten verbreitete sind diese Signaturwerkzeuge, die wir in unserer Hilfe beschrieben haben und bei denen wir Ihnen helfen können:
- Signtool aus dem Windows SDK (Hilfe)
- Jarsigner (siehe Blogartikel)
- Smctl Utility von DigiCert - empfohlen für KeyLocker (Hilfe). Es kann z.B. Signtool verwenden und die Signatur vereinfachen.
Die meisten unserer Kunden entwickeln in einer MS Windows Umgebung und nutzen das Windows SDK. Die Signatur erfolgt dann mit dem Werkzeug signtool.exe. Die Dokumentation zu SignTool finden Sie auf der Seite SignTool.exe (Sign Tool) auf der Microsoft Webseite.
Signieren mit Cloud-HSM
Cloud-HSM dient zur sicheren Speicherung des Code Signing Zertifikats und zum entfernten Zugriff darauf. Im Gegensatz zu einem Zertifikat auf einem Token ermöglicht es die Automatisierung und die Signatur ist sehr schnell, da nur der Hash der Datei in die Cloud gesendet wird (sog. Hash-Signing).
Das Signieren mittels Hash-Signing und Cloud empfehlen wir dringend gegenüber dem Token. Es ist sicher, schnell und günstig.
Empfohlene Cloud-HSM
- DigiCert KeyLocker
- DigiCert Software Trust Manager
- Azure Key Vault
- GCP Cloud KMS (Google)
- AWS CloudHSM
In den folgenden Abschnitten finden Sie die Vor- und Nachteile der einzelnen Lösungen.
DigiCert KeyLocker
Die günstigste Alternative zum Token ist KeyLocker. Es handelt sich um einen einfachen Dienst für einen Benutzer, der eine einfache Codesignatur ermöglicht. DigiCert stellt eigene KSP- und PKCS#11-Bibliotheken bereit, die Sie in Ihrem System installieren, und Sie signieren den Code genauso wie gewohnt. Mit ihrem Dienstprogramm SMCTL ist das Signieren noch einfacher und direkter als mit Signtool. SMCTL ist kompatibel mit den meistgenutzten Code-Signing-Tools und kann diese aufrufen. KeyLocker hat ein Limit von 1000 Signaturen und eignet sich daher für weniger häufiges Signieren. Die Anzahl der Signaturen kann jedoch gegen Gebühr erweitert werden.
DigiCert Software Trust Manager
Es handelt sich um die Spitzen-Cloud-Lösung der DigiCert ONE Plattform, die für den Enterprise-Einsatz bestimmt ist. Sie bietet die Verwaltung einer unbegrenzten Anzahl von Zertifikaten und Benutzern und ist unbegrenzt skalierbar. Die Anbindung an Ihre CI/CD-Plattform wird durch vorbereitete Skripte und Bibliotheken sichergestellt. Der Zugang zu STM und die Anzahl der Signaturen werden lizenziert. Für weitere Informationen zu Preis und Lizenzierung kontaktieren Sie uns. Die Dokumentation finden Sie auf der DigiCert Webseite.
Cloud-HSM Azure und Google
Beide großen Cloud-Anbieter bieten einen HSM-Dienst mit sicherem Remote-Zugriff über eigene Bibliotheken an, die als KSP unter Windows fungieren. Die Nutzung ist nicht kompliziert und der Preis beider ist sehr günstig (es wird nur für Krypto-Operationen bezahlt). Azure und GCP empfehlen wir für eine große Anzahl an Signaturen pro Jahr, da die Kosten niedrig sind.
Eine Anleitung zum Signieren von Code mit Azure Key Vault finden Sie im Artikel Code Signing mit Azure Key Vault. Für GCP Cloud KMS im Artikel Code Signing mit Google Cloud KMS.
AWS CloudHSM
Bei Amazon ist es ebenfalls möglich, mit Hilfe der Cloud unter Verwendung von Signtool aus dem Windows SDK zu signieren, das eingerichtete HSM ist jedoch pro Betriebsstunde gebührenpflichtig. Neben den fixen Kosten fallen auch Gebühren für Operationen (Signaturen) an. Wenn Sie AWS noch nicht nutzen, empfehlen wir eher Azure oder GCP HSM. Mehr Informationen zur Nutzung mit Signtool finden Sie im Artikel Use Microsoft SignTool with Client SDK 3 to sign files.
Vergleich Azure Key Vault vs Google Cloud KMS vs AWS CloudHSM/KMS+HSM
Einen Vergleich aller drei Cloud-HSMs finden Sie in der folgenden Tabelle. Der Fokus liegt auf den Kosten pro Signatur-Operation (Hash-Signing), fixen Gebühren, Skalierung, geringer Nutzung, Betriebskomplexität und Latenz/Durchsatz.
| Faktor | Azure Key Vault | Google Cloud KMS | AWS CloudHSM / KMS + HSM |
|---|---|---|---|
| Gebühren für Operationen (sign/verify) | Sehr niedrig (≈ $/10 000 Operationen). | Sehr niedrig (≈ $/10 000 Operationen). | Kein Hauptkostenfaktor; die fixen HSM-Gebühren sind maßgeblich. |
| Fixe Kosten | Mögliche monatliche Gebühr pro HSM-Schlüssel; sonst niedrig. | Ohne signifikante Fixkosten im Standardmodus. | Hoch – stündliche HSM-Miete (24/7) oder Custom Key Store. |
| Skalierung und Kapazität | Linear nach Transaktionen; durch Throttling begrenzt. | Linear; auf Quoten achten (QPS/QPM). | Skalierung durch Hinzufügen von HSMs; auch die fixen Kosten steigen. |
| Kosten bei geringer Nutzung | Vorteilhaft — es wird hauptsächlich für Operationen bezahlt. | Vorteilhaft — es wird hauptsächlich für Operationen bezahlt. | Nachteilig — HSM wird auch ohne Last bezahlt. |
| Betriebskomplexität | Niedrig — verwalteter Dienst. | Niedrig — verwalteter Dienst. | Höher — Verwaltung des HSM-Clusters und HA/DR. |
FAQ - häufig gestellte Fragen
Nein, Code Signing wird nicht für eine Domain ausgestellt, sondern für eine bestimmte Organisation. Der Name dieser Organisation befindet sich im Common Name.
Mit dem Zertifikat DigiCert Code Signing können verschiedene Arten von Software und Skripten signiert werden, um sicherzustellen, dass sie aus einer vertrauenswürdigen Quelle stammen und nach der Veröffentlichung nicht geändert wurden.
Was signiert werden kann:
- Ausführbare Dateien: .exe, .dll, .ocx, .msi, .cab
- Windows-Treiber (WHLK/HLK)
- Java Anwendungen: .jar
- Makros und VBA-Skripte in Microsoft Office
- PowerShell Skripte: .ps1
- macOS Anwendungen und Pakete (über Apple Developer ID)
- Adobe AIR Anwendungen
- .NET Anwendungen und Bibliotheken
- Skripte und Installer in verschiedenen Umgebungen
Was nicht signiert werden kann:
- Code, der eine anerkannte elektronische Signatur gemäß eIDAS erfordert
- Dateien, die nicht zur Verteilung bestimmt sind
- Formate und Plattformen, die keine digitale Signatur unterstützen
Ja, der zeitgestempelte (timestamped) Code bleibt auch nach Ablauf des Zertifikats gültig. Wenn Sie beim Signieren einen Zeitstempel (timestamp) verwenden, überprüft das System, dass der Code während der Gültigkeit des Zertifikats signiert wurde. Dadurch bleibt die Signatur weiterhin vertrauenswürdig. Ohne die Verwendung eines Zeitstempels muss der Code mit einem neuen Zertifikat erneut signiert werden.
Siehe Artikel Instructions for timestamping VBA code auf DigiCert.com
Nein, mit dem Zertifikat können Sie eine unbegrenzte Anzahl von Anwendungen signieren. Wenn Sie ein Code Signing Zertifikat auf einem Token haben, können Sie unbegrenzt signieren. Die Anzahl der Signaturen wird nur in Cloud-Diensten berücksichtigt:
- DigiCert KeyLocker - während der Gültigkeitsdauer des Zertifikats haben Sie 1000 Signaturen, weitere können gekauft werden.
- Software Trust Manager - Signaturen werden während der Vertragslaufzeit lizenziert.
Das Signieren mit einem Code Signing Zertifikat ist einfach und schnell. Es nutzt das sogenannte Hash-based Signing, bei dem zuerst ein Hash aus der Datei berechnet wird, der dann in die Cloud zur Signatur gesendet wird. Die eigentliche Datei wird nirgendwo übertragen – es wird nur der signierte Hash in die Signatur zurückgegeben. Dadurch ist der gesamte Prozess sicher und effizient.
Das Hash-Signing mit der Cloud können Sie mit diesen Produkten nutzen:
Kontaktieren Sie uns
Wenn Sie bei einem Schritt der Zertifikatsbestellung, der Zertifikatausstellung, der Zertifikatsinstallation oder bei einer anderen Frage Hilfe benötigen, zögern Sie nicht, unseren Kundensupport zu kontaktieren, der Ihnen berät und hilft. Unsere Fachleute mit der Symantec Web Security Sales Expert Plus Zertifizierung stehen Ihnen an jedem Werktag während der normalen Arbeitszeiten zur Verfügung.
Sie können uns auch direkt aus Ihrem Kundenkonto kontaktieren, indem Sie eine Anfrage über das Menü Authorisierter Antrag senden.
War für Sie dieser Artikel nützlich?
Wir danken Ihnen für Ihr Feedback zu diesem Artikel.
Es tut uns leid, dass Sie hier für Ihren Bedarf nichts Passendes gefunden haben.
Helfen Sie uns, diesen Artikel zu verbessern. Schreiben Sie uns bitte, was Sie hier erwartet und nicht erfahren haben.