Veamos este ejecutable ...
Esta firma digital está bien.
Ok, bien.
Nombre: Cocoa Nuts Unicorns Ltd
Uhm eso no me dice nada.
Por lo tanto, tengo una firma válida y un certificado válido. ¿Cómo puedo saber más sobre el propietario que solo el nombre mostrado? Intenté ir al sitio del emisor sin suerte, muchos enlaces a cómo comprar un certificado pero no información sobre los titulares de certificados. Esto también se aplica a los certificados TLS.
Los certificados no prueban por definición quién está detrás de ellos. Si confías en que la 'fuente' depende completamente de ti. Esta es la razón por la que la mayoría de las conexiones "seguras" realizadas con certificados son para la confidencialidad y la integridad, pero aún no sabe con quién está hablando. Las CA tienen reglas que les dicen a los propietarios de certificados que no compartan la clave privada, pero en la práctica eso es muy difícil de verificar.
También puedes subir a la cadena y decir 'No sé Coca Nuts Unicorns Ltd, pero sí conozco la autoridad más alta en la cadena, Verisign por ejemplo'. Si verisign está bien con eso, tal vez usted también lo está? Sin embargo, esta es una pendiente resbaladiza, porque las AC le entregarán un certificado siempre que les dé algo de dinero, información de la cuenta y una dirección de correo electrónico. Simplemente no puede estar seguro de quién está detrás de ese certificado.
Hay un concepto con certificados, validación extendida, que le ayuda a salir. Los conceptos básicos de ese concepto son que el propietario tuvo que ser validado por la autoridad de certificación.
Un Certificado de Validación Extendida (EV) es un certificado utilizado para los sitios web y software de HTTPS que prueba que la entidad legal controla el sitio web o el paquete de software. La obtención de un certificado EV requiere la verificación de la identidad de la entidad solicitante por una autoridad de certificación (CA). Los navegadores web muestran la identidad legal verificada de manera prominente en su interfaz de usuario, ya sea antes o en lugar de, el nombre de dominio. Durante la instalación del software, el sistema operativo (por ejemplo, Microsoft Windows) muestra la identidad legal verificada al usuario antes de continuar con la instalación.
Ver: enlace
Lea otras preguntas en las etiquetas tls certificates code-signing