Certificado de firma de código para aplicación incrustada

Question

Certificado de firma de código para aplicación incrustada

#1 de Crypt32 (0 votos)

0

Vista previa :

Estoy desarrollando una aplicación incrustada segura que recibe un código, firmado con RSA-2048 y verifica su firma antes de activarlo con una clave pública preprogramada. Quiero usar la certificación de firma de código para verificar la entidad que creó y firmó este código. Hice una investigación en línea y no encontré ningún flujo claro en el uso de tales certificados, tengo las siguientes preguntas sin una respuesta clara.

Preguntas :

1. Supongamos que una CA emitirá un certificado de este tipo para el código, ¿se adjuntará la clave pública que firma el certificado? Si es así, ¿qué evitará que un atacante altere este certificado y lo firme con su propio par de claves? y si no, ¿de dónde provendrá la clave pública para autenticar el certificado?

2. ¿Tengo que analizar el certificado dentro de la aplicación incrustada?

3. ¿Dónde puedo obtener un ejemplo de dicho certificado?

public-key-infrastructure certificates rsa embedded-system

pregunta Dima Shifrin 01.06.2017 - 11:07

fuente

1 respuesta

Lea otras preguntas en las etiquetas public-key-infrastructure certificates rsa embedded-system

Reportar sitios vulnerables Angular 1.6 XSS Scoping

score 0 · Accepted Answer

Supongamos que una CA emitirá un certificado de este tipo para el código, ¿se adjuntará la clave pública que firma el certificado?

No directamente. Sin embargo, es fácil obtener la clave pública del emisor mediante la construcción de la cadena de certificados, que incluirá todos los certificados en la ruta de certificación y sus claves públicas. Normalmente, no tiene que escribir su propio código para eso, solo use cualquier marco de cifrado adecuado para recuperar el certificado del emisor y validar el certificado de firma de código.

Para la plataforma Windows, debe usar Windows CryptoAPI, para * nix puede usar OpenSSL.

¿Tengo que analizar el certificado dentro de la aplicación incrustada?

de nuevo, no directamente. Utilice marcos criptográficos adecuados y delegue todas las tareas de validación de certificados. Se asegurarán si el certificado presentado y su cadena son válidos y no se manipulan.

¿Dónde puedo obtener un ejemplo de dicho certificado?

para entornos de producción, es preferible comprar el certificado de firma de código de una CA comercial de confianza global.

Para escenarios privados, puede utilizar PKI privado de la empresa para obtener dicho certificado. Póngase en contacto con el administrador de su sistema para obtener más detalles.