Firma de código: ¿Cambiar los atributos del certificado durante la renovación?

Question

Firma de código: ¿Cambiar los atributos del certificado durante la renovación?

#1 de David Wachtfogel (1 votos)
#2 de Harel (0 votos)

2

Soy bastante nuevo en la firma de códigos y hasta ahora no he podido encontrar respuestas claras a las siguientes preguntas generales. Sería genial si alguien pudiera aclarar / explicar la lógica detrás de esto y señalarme la dirección correcta:

Si un certificado de firma de código caduca y necesita ser renovado, ¿se puede cambiar el atributo del sujeto para el nuevo certificado sin invalidar las firmas creadas previamente? ¿La clave pública depende de este atributo?
Si en su lugar debe crearse un nuevo certificado, ¿qué debe hacerse para asegurarse de que el código firmado previamente seguirá siendo válido (por ejemplo, use la misma clave privada?)

Caso de uso:
El código Java ha sido firmado y desplegado con un certificado de firma de código y entregado a los clientes. El certificado expira y debe renovarse / recrearse para mantener la firma válida.

certificates

pregunta 17.09.2012 - 10:19

fuente

2 respuestas

Lea otras preguntas en las etiquetas certificates

¿Puede una computadora maliciosa en una red local de enlace causar daño en otra red? ¿La página de manual de mount dice que nosuid * es * segura, o * not *?

score 1 · Answer 1

1

Alternativamente, puede marcar el código de tiempo para que siga siendo válido incluso después de que caduque el certificado de firma de código. Hay más detalles sobre esto en StackOverflow aquí y aquí .

respondido por el David Wachtfogel 24.09.2012 - 20:32

fuente

score 0 · Answer 2

Un certificado es una clave pública firmada con algunos metadatos adicionales (como el período de validez), firmada por alguna autoridad confiable (Autoridad de certificación) que se supone ya es confiable y cuya firma puede validarse.

Tu pregunta es más una cuestión de política. No veo por qué una CA utiliza un nuevo certificado para la clave pública y cuyo certificado ha caducado no puede , esta vez con un nuevo período de validez y quizás un nuevo tema pero el mismo clave pública subyacente. Como la clave pública subyacente cuya clave privada coincidente se usó para firmar el código sigue siendo la misma, no será necesario rehacer las firmas en el propio código. La clave pública de firma de código no depende de los metadatos contenidos en su certificado (más bien, la firma en el certificado, realizada por la CA, depende de todos los metadatos).

Habiendo dicho eso, es posible que exista alguna política de seguridad / TI que requiera la generación de un nuevo par de llaves para cada certificado, en cuyo caso el código en sí deberá ser resignado como parte de la emisión de un nuevo certificado. Pero nuevamente, desde un punto de vista técnico / criptográfico, esto no es realmente obligatorio.