ssl-certificate - precio - proveedores de certificados ssl

¿Certificado SSL igual que el certificado de firma?

Question

¿Es un certificado de firma de código lo mismo que un certificado SSL?

Answer 1

No. Por supuesto, SO no me deja solo responder con "no", así que tendremos que explicarlo.

Básicamente, un certificado de firma de código le brinda una clave privada que puede verificarse con una clave pública certificada por una autoridad conocida. Realiza una firma digital con esa clave, y el otro extremo puede verificar que tenía un certificado de una fuente confiable cuando lo firmó.

Un certificado SSL es solo un "documento" firmado que puede verificarse como proveniente de una fuente confiable. No puede cifrar o firmar con él porque no tiene ningún material clave que sea solo suyo; es solo un documento firmado que dice "Certifico que confío en quién dice este tipo que es".

Answer 2

Un certificado de firma de código es esencialmente lo mismo que un certificado SSL. Ambos se utilizan para firmar algunos datos para demostrar que los datos (paquete de software o contenido de la página web) provienen del "sujeto" del certificado. Hay 2 diferencias principales que puedo pensar:

1. Tienen diferentes OID "uso de clave mejorada" en el certificado. Un certificado de firma de código solo se puede utilizar para firmar un fragmento de código. Nada le impide firmar con el certificado incorrecto, pero el cliente (por ejemplo, un navegador web) comprobará todos los "usos de clave mejorados" que figuran en el certificado y rechazará la firma si el certificado no contiene el OID apropiado (por ejemplo, "firma de código") . Esto significa que es posible que un certificado tenga OID "firma de código" y "autenticación de servidor" para que se pueda usar para ambos escenarios. Pero por razones de seguridad nadie debería hacer eso.

2. El certificado SSL deja de ser válido una vez que caduca. Pero el certificado de firma de código recibe un tratamiento especial. Por ejemplo, si compró algún software hace 10 años, el certificado de firma de código utilizado para firmarlo probablemente caducó hoy. Pero combinado con un servicio de sellado de tiempo, es posible probar que el paquete de software se firmó correctamente hace 10 años.