易维信(EVTrust)数字证书

证书颁发机构理事会（CASC）发布了首个关于代码签名的标准化准则

近期，证书颁发机构安全理事会（CASC），一个致力于加强网络安全的组织，宣布证书代码签名团队就发布了一套新的最低要求标准，供所有CA使用。该标准是首个标准化的代码签名指南。代码签名是一种用基于证书的数字签名签发可执行文件及脚本文件证书以核实软件作者身份并确保代码未被修改和破坏的方法。核实软件真实性并避免下载恶意软件对于保护用户在线交互活动是至关重要的。微软公司是第一个采用该项指南的应用软件销售商，预计其他公司将会跟进。

该指南包括几个新功能，可以帮助企业保护他们的IT系统和信息仓库免受网络攻击。这包括：

对私钥的更强保护：最佳方案是使用FIPS 140-2标准的2级HSM或类似产品。研究表明，对好的软件发布人和坏的软件发布人的代码签名攻击数量基本相同，这些发布人的密钥在不知不觉中就被窃取了。这使得攻击者可以为恶意软件签发证书，并宣称该软件是由合法公司发布的。因此，公司必须将密钥要么存储在他们的自行管理的硬件中，要么存储在新的基于云的代码签名的云服务上。

证书撤销：如果发现用户可能正在安装可疑代码或恶意软件，恶意软件研究人员或者像微软公司一样的应用软件供应商都可能会发出撤销证书的请求。在CA收到请求后，它要么在两天内撤销证书，要么发起一项调查并警告请求者。

改善代码签名时间戳：CA现在必须提供时间戳凭证（TSA），并为该TSA和时间戳证书指定详细要求。鼓励应用软件供应商允许代码签名在时间戳证书的的有效期内保持有效。该标准允许时间戳证书的有效期达到135个月。

微软公司将要求为Windows平台颁发代码签名证书的CA从2017年2月1日起必须遵守该指南。2017 年 1 月 30 日起所有代码签名证书必须存储在硬件令牌（或 HSM）中，2017 年 1 月 30 日前颁发的标准型代码签名证书使用将不受影响。