软件代码数字签名基本原理

在通过精美的包装盒销售软件的时代，大家使用防伪标志、正版序列号等识别方式来让用户知道什么是正版软件。但在当今的网络时代，有利的一面是软件开发商可以通过网络不受时间、地域的限制而快速发行软件，但不利的一面，则是用户无法辨认软件的真伪，无法确认软件发行方的真实身份。在没有间谍软件、病毒程序和木马程序之前，大家可以不用担心某个软件到底是不是软件中声称的开发商开发的，但是在今天互联网的开放性环境下，使得用户根本无法确认通过各大下载站下载的软件是否真的是由软件中声称的开发商分发的！如何保证软件代码在网络传输过程中不会被非法修改，同时还能让用户非常清楚地识别软件发行者的真实身份( 软件真实来源 )，答案就在代码签名。

以微软代码为例，为了保证微软 Windows系统的安全和用户安全，微软推出了 Microsoft Authenticode 技术，即微软认证技术，此技术保证了只有使用了 Windows 的受信任的根证书颁发机构颁发的代码签名证书对软件代码数字签名之后，才允许在 Windows 上运行，从而保证了软件代码来自真实的发行者并确保软件代码没有在分发的过程中被非法篡改。

软件开发商在自己电脑上生成私钥和证书请求文件 (CSR) 提交给天威诚信 ，同时提交有关身份证明文件 ( 如营业执照等 ) 查验， 验证身份后从天威诚信获得代码签名证书的公钥文件。这样就完成了证书的申请和颁发。

软件开发商使用代码签名工具 ( 如微软发型的 Signtool.exe 和 SignCode.exe) 给要签名的代码生成一个 Hash 表，再用其私钥加密 Hash 表产生 加密的 Hash，接着就把加密的 Hash 连同其公钥证书与软件代码一起打包生成签名后的新的软件代码，软件开发商就可以把已经签名的代码放到网上发行了。

最终用户从网上下载已经签名的代码时，Windows系统会从签名代码中解读出其签名证书 ( 公钥 ) 和 加密的 Hash，然后首先确认签名证书合法有效且未被证书颁发机构撤回，其次再查找 Windows 系统中受信任的根证书，确认签名证书是由受信任的根证书签发的。最后用签名时使用的同样算法对软件代码生成一个 Hash 表，并使用公钥解密签名时 加密的 Hash 表，比较从代码中解包出来的 Hash 表与本地重新计算生成的 Hash 表是否一致，如果一致，则表明此代码在传输过程中未有任何修改。验证签名证书正确且未被修改之后，就可以确认此代码确实是来自真实的软件开发商了。

从以上整个过程的简单介绍，可以看出：

(1) 购买代码签名证书一定要从 Windows 内置的受信任的根证书颁发机构购买 ( 如： Thawte， VeriSign)，否则无法通过验证。而通过人为的添加根证书到 Windows 受信任的根证书存储区，首先不可能要求所有网上用户在使用代码之前先下载和安装某个根证书，其次如果谁都可以人为添加不受信的根证书就无法保证签名证书的唯一性和权威性了。

(2) 代码签名后不仅保证了软件开发商的真实身份，而且还保证了代码的完整性，以免代码被病毒干扰和被非法篡改。

(3) Windows默认设置下，一些驱动程序和控件程序只有使用了 Windows 受信任的证书颁发机构颁发的代码签名证书签名才允许下载和安装。

(4) 第三方安全防护软件通常会给予经过有效数字签名的程序更高的运行权限，并且能够给予签名证书设置白名单从而避免误报拦截。

所以，如果您要让您的代码能让用户放心地下载，就一定要申请代码签名证书。