Kod İmzalama Sertifikası Nedir?

Kısa cevap: Kod imzalama sertifikası, dağıttığınız yazılımın gerçekten sizin tarafınızdan yayınlandığını ve indirildikten sonra değiştirilmediğini doğrular. Web sitesi sertifikasından farklı bir üründür.

Hangi sorunu çözüyor?

İmzasız bir yazılım indirildiğinde:

• İşletim sistemi "bilinmeyen yayıncı" uyarısı gösterir
• Kullanıcı kurulumdan vazgeçebilir
• Bazı sistemler çalıştırmayı doğrudan engeller
• Güvenlik yazılımları şüpheli olarak işaretleyebilir
• Yazılımın yolda değiştirilip değiştirilmediği anlaşılamaz

Kod imzalama, bu uyarıları ortadan kaldırır ve yayıncı kimliğinizi gösterir.

Kimler ihtiyaç duyar?

• Masaüstü yazılım geliştiren şirketler
• Kurulum dosyası dağıtanlar
• Sürücü yazılımı üreticileri
• Tarayıcı eklentisi yayınlayanlar
• Kurumsal iç yazılım dağıtan şirketler
• Cihaz üreticileri (yazılım güncellemesi verenler)

Beşinci madde sık atlanır: Yalnız kendi çalışanlarınıza dağıttığınız iç yazılımlar bile, imzasızsa uyarı verir ve dağıtımı zorlaştırır.

Kimler ihtiyaç duymaz?

• Yalnız web sitesi olan şirketler
• Yazılım geliştirmeyen şirketler
• Yalnız web uygulaması sunanlar
• Mobil uygulama yayınlayanlar (mağazaların kendi süreçleri vardır)

Son madde önemlidir: Mobil uygulama mağazalarının kendi imzalama sistemleri vardır; bu sertifika türü oradaki ihtiyacı karşılamaz.

Web sertifikasından farkı

Kritik: Bu iki sertifika birbirinin yerine geçmez. Yazılım dağıtan bir şirketin her ikisine de ihtiyacı vardır.

Doğrulama süreci

Kod imzalama sertifikalarında doğrulama, web sertifikalarına göre daha katıdır:

• ☐ Şirketin yasal varlığı doğrulanır
• ☐ Ticaret sicil kaydı incelenir
• ☐ Adres doğrulanır
• ☐ Telefon doğrulaması yapılır
• ☐ Yetkili kişi teyit edilir

Süre: Web sertifikasından uzundur. Planlamanızı buna göre yapın.

Şahıs şirketleri için: Doğrulama süreci farklı işleyebilir; sağlayıcınıza sorun.

Anahtar saklama

Kod imzalama sertifikalarında özel anahtarın korunması özellikle kritiktir. Ele geçirilen bir anahtarla, sizin adınıza zararlı yazılım imzalanabilir.

Bu sebeple sektörde, anahtarın donanım tabanlı güvenli bir ortamda saklanması yönünde gereklilikler bulunmaktadır.

• ☐ Anahtarın nasıl saklanacağı sağlayıcıya soruldu
• ☐ Donanım gereksinimi varsa temin edildi
• ☐ Fiziksel güvenliği sağlandı
• ☐ Erişimi olan kişiler sınırlı
• ☐ Kimin imzaladığı kayıt altında
• ☐ Kaybolma durumunda süreç tanımlı

Not: Bu alandaki gereklilikler değişkendir; güncel durumu sağlayıcınızdan teyit edin.

Zaman damgası

Yazılımı imzalarken bir zaman damgası eklenir. Bunun nedeni önemlidir:

Zaman damgası olmadan: Sertifikanızın süresi dolduğunda, daha önce imzaladığınız yazılımlar da geçersiz sayılır ve uyarı vermeye başlar.

Zaman damgası ile: İmza, atıldığı tarihte sertifika geçerli olduğu için geçerli kalmaya devam eder.

• ☐ İmzalama sürecinde zaman damgası kullanılıyor
• ☐ Zaman damgası hizmeti erişilebilir
• ☐ Süreç belgelenmiş

Bu, en sık yapılan hatalardan biridir ve yıllar sonra ortaya çıkar.

İtibar birikimi

İşletim sistemleri, imzalı yazılımlar için bir itibar değerlendirmesi de yapar. Yeni bir sertifikayla imzalanan ilk yazılımlar, itibar birikene kadar uyarı alabilir.

• ☐ Sertifika değişiminde itibar sıfırlanabileceği biliniyor
• ☐ Sertifika sık değiştirilmiyor
• ☐ Yenilemede aynı sertifika sürdürülüyor

Satın alırken sorulacaklar

• ☐ Hangi platformlarda tanınıyor?
• ☐ Doğrulama süreci ne kadar sürer?
• ☐ Hangi belgeler isteniyor?
• ☐ Anahtar saklama gereksinimi nedir?
• ☐ Donanım gerekiyorsa dahil mi?
• ☐ Zaman damgası hizmeti veriliyor mu?
• ☐ Kaç kişi kullanabilir?
• ☐ Kaybolma durumunda ne olur?
• ☐ Yenileme nasıl işliyor?

Kurumsal yönetim

• ☐ Sertifika envanterinde kayıtlı
• ☐ Sorumlu kişi belli
• ☐ İmzalama yetkisi tanımlı
• ☐ İmzalanan sürümler kayıt altında
• ☐ Bitiş tarihi takip ediliyor
• ☐ Ayrılan çalışanlarda erişim değerlendiriliyor

Dördüncü madde: Hangi sürümün ne zaman ve kim tarafından imzalandığının kaydı, bir güvenlik olayında kritik hâle gelir.