Certificado SSL igual que certificado de firma?

Question

¿Es un certificado de firma de código lo mismo que un certificado SSL?

Answer 1

No. Por supuesto, SO no me deja responder con "no", así que tendremos que explicarlo.

Básicamente, un certificado de firma de código le proporciona una clave privada que puede verificarse contra una clave pública certificada por una autoridad conocida. Usted hace una firma digital con esa clave, y el otro lado puede verificar que tenía un certificado de una fuente confiable cuando lo firmó.

Un certificado SSL es solo un "documento" firmado que puede verificarse como proveniente de una fuente confiable. No puede encriptar ni firmar con él porque no tiene ningún material clave que sea solo suyo; es solo un documento firmado que dice "Certifico que confío en quién es el tipo que dice ser".

Answer 2

Un certificado de firma de código es esencialmente lo mismo que un certificado SSL. Ambos se utilizan para firmar algunos datos para demostrar que los datos (paquete de software o contenido de la página web) provienen del "asunto" del certificado. Hay 2 diferencias principales que se me ocurren:

1. Tienen diferentes OID de "uso de clave mejorada" en el certificado. Un certificado de firma de código solo se puede usar para firmar un fragmento de código. Nada le impide firmar con el certificado incorrecto, pero el cliente (por ejemplo, un navegador web) comprobará todos los "usos mejorados de las claves" enumerados en el certificado y rechazará la firma si el certificado no contiene el OID apropiado (por ejemplo, "firma de código") . Esto significa que es posible que un certificado tenga los OID de "firma de código" y "autenticación de servidor" para que se pueda usar en ambos escenarios. Pero por razones de seguridad, nadie debería hacer eso.

2. El certificado SSL deja de ser válido una vez que caduca. Pero el certificado de firma de código recibe un trato especial. Por ejemplo, si compró software hace 10 años, el certificado de firma de código utilizado para firmarlo probablemente expiró hoy. Pero combinado con un servicio de sellado de tiempo, es posible probar que el paquete de software fue firmado correctamente hace 10 años.