Kod imzalama sertifikaları, bir yürütülebilir dosyanın, sürücünün ya da paketin kim tarafından yayımlandığını ve son kullanıcıya ulaşana dek değiştirilmediğini kanıtlayan sertifikalardır. Bir geliştirici derlediği binary’i özel anahtarıyla imzalar; işletim sistemi de bu imzayı yayıncının açık anahtarıyla doğrulayarak dosyaya güvenip güvenmeyeceğine karar verir.

Kod imzalama, çalıştırılacak dosyanın kaynağını doğrulayan ve içeriğinin bit düzeyinde bozulmadığını ispat eden kriptografik bir mühürdür.

Nasıl Çalışır?

İmzalama sırasında dosyanın kriptografik özeti (hash) hesaplanır ve bu özet, yayıncının gizli anahtarıyla şifrelenerek bir dijital imza üretilir. Sertifika, imzayı doğrulamak için gereken açık anahtarı ve yayıncı kimliğini bir arada taşır. İndirilen dosya çalıştırılmak istendiğinde işletim sistemi özeti yeniden hesaplar; imzadaki değerle eşleşiyorsa dosya kurulumdan bu yana bir bayt bile değişmemiş demektir.

Sertifikayı güvenilir kılan şey, onu düzenleyen makamın işletim sistemi ve tarayıcılar tarafından tanınmasıdır. Yayıncı, kimliğini bir sertifika otoritesi‘ne doğrulattıktan sonra sertifikasını alır; bu güven zinciri, tüm doğrulamanın dayandığı açık anahtar altyapısı‘nın bir parçasıdır. Zincirdeki köke kadar geriye izlenebilen her imza, o kök makamın kefaletiyle güvenilir sayılır.

Zaman Damgası Neden Kritik?

İmzalar, altındaki sertifikanın geçerlilik süresiyle sınırlıdır; ancak yazılım sertifikadan çok daha uzun süre kullanımda kalır. Bu boşluğu zaman damgası kapatır: imzalama anında güvenilir bir zaman damgası sunucusundan alınan onay, işlemin sertifika hâlâ geçerliyken yapıldığını kanıtlar. Böylece sertifika yıllar sonra süresi dolsa veya iptal edilse bile, damgalı imza geçerli kalır ve eski sürümler aniden ‘güvenilmez’ hâle gelmez.

EV Sertifikaları ve Anahtar Koruması

İmzalamanın tüm güveni gizli anahtarın sırrına bağlı olduğundan, bu anahtarın çalınması saldırgana meşru yayıncı gibi imza atma yetkisi verir. Bu yüzden Genişletilmiş Doğrulama (EV) kod imzalama sertifikalarında özel anahtarın bir donanım güvenlik modülü ya da uyumlu bir donanım token’ı içinde tutulması zorunludur; anahtar cihazdan hiç dışarı çıkmaz, imzalama işlemi donanımın içinde gerçekleşir. Sektör kuralları 2023’ten itibaren tüm genel kod imzalama anahtarları için bu tür donanım korumasını genele yaydı.

• Standart (OV) sertifika: yayıncı kimliği doğrulanır, uygun maliyetlidir ancak yeni yazılımlar için itibar birikmesi zaman alır.
• EV sertifika: daha katı kimlik denetimi ve zorunlu donanım anahtar koruması içerir, işletim sistemi filtrelerinde anında güven sağlar.
• Çekirdek/sürücü imzalama: işletim sistemi çekirdeğine yüklenecek modüller için ayrı ve daha sıkı bir imza akışı gerektirir.

Kurumsal Etki

İmzasız ya da geçersiz imzalı yazılım, kullanıcı tarafında uyarı ekranları, kurulum engellemeleri ve itibar kaybı üretir; imzalama anahtarının ele geçirilmesi ise tüm müşteri tabanına zararlı güncelleme dağıtılmasıyla sonuçlanabilir. Kurumların imzalama anahtarlarını nasıl sakladığını, hangi sistemlerin imza atma yetkisi olduğunu ve zaman damgası akışlarını denetlemek, bir altyapı ve mimari gözden geçirme çalışmasının doğal parçasıdır.