`

软件代码数字签名基本原理

阅读更多

在通过精美的包装盒销售软件的时代,大家使用什么防伪标志等来让用户识别什么是正版软件。但在当今的网络时代,有利的一面是软件开发商可以通过网络不受时间、地域的限制而快速发行软件,但不利的一面,则是用户无法辨认软件的真伪,根本无法确认软件代码的真实身份。在没有间谍软件和木马程序之前,大家可能还都信任某个软件就是软件中声称的开发商开发的软件,但是在今天就不应该这样认为了,互联网的匿名性使得用户根本无法确认此软件是否真的是软件中声称的开发商开发的软件!如何保证软件代码在网络传输过程中不会被非法修改,同时还能让用户非常清楚地识别软件发行者的真实身份( 软件真实来源 ),答案就是代码签名。

    以微软代码为例,为了保证微软 Windows系统的安全和用户安全,微软推出了 Microsoft Authenticode 技术,即微软认证码技术,此技术保证了只有使用了 Windows 的受信任的根证书颁发机构颁发的代码签名证书对软件代码数字签名后才允许在 Windows 上运行,从而保证了软件代码来自真实的发行者和保证软件代码没有被非法篡改。

 



 

软件开发商在自己电脑上生成私钥 (.pvk) 和证书请求文件 (CSR) 提交给 WoSign, 同时提交有关身份证明文件 ( 如营业执照和第三方证明文件等 ) 给 WoSign 查验, WoSign 验证身份后用自己的私钥给 CSR 文件签名后生成代码签名证书,也就是公钥 (.spc) 给软件开发商。这样就完成了证书的申请和颁发。

    软件开发商用代码签名工具 ( 如: SignCode.exe) 给要签名的代码生成一个 Hash 表,再用其私钥加密 Hash 表产生认证摘要,接着就把认证摘要连同其公钥与软件代码一起打包生成签名后的新的软件代码,软件开发商就可以把已经签名的代码放到网上发行了。

    最终用户从网上下载已经签名的代码时,浏览器会从签名代码中解读出其签名证书 ( 公钥 ) 和 Hash 表摘要,并与 Windows 的受信任的根证书相比较查验公钥证书的有效性和合法性,验证签名证书正确后,就可以确认此代码确实是来自真实的软件开发商。

    接着,再使用签名时使用的同样算法对软件代码生成一个 Hash 表,并使用公钥也同样生成一个 Hash 表认证摘要,比较从代码中解包出来的 Hash 表认证摘要与生成的 Hash 表认证摘要是否一致,如果一致,则表明此代码在传输过程中未有任何修改,从而可以确认代码的一致性。

    从以上整个过程的简单介绍,可以看出:

    (1)  购买代码签名证书一定要从 Windows 内置的受信任的根证书颁发机构购买 ( 如: WoSign,Thawte, VeriSign),否则无法通过验证。而通过人为的添加根证书到 Windows 受信任的根证书存储区,一来不可能要求所有网上用户在使用代码之前先下载和安装某个根证书,更重要的是,谁都可以人为添加的根证书不能保证签名证书的唯一性和权威性。

    (2) 代码签名后不仅保证了软件开发商的真实身份,而且还保证了代码的完整性,以免代码被病毒干扰和被非法篡改。

    (3) 只有使用了 Windows 受信任的证书颁发机构 ( 如 WoSign) 颁发的代码签名证书签名的代码才允许下载,所以,如果您要让您的代码能让用户放心地下载,就一定要申请 WoSign 的代码签名证书。

 

  • 大小: 5.7 KB
分享到:
评论
发表评论

文章已被作者锁定,不允许评论。

相关推荐

    RSA数字签名源代码

    以下是C#实现RSA数字签名的基本步骤: 1. **生成RSA密钥对**: - 使用RSACryptoServiceProvider类的实例化方法生成密钥对。 - 可以通过SavePrivateBlob和SavePublicBlob方法保存或加载密钥。 2. **计算消息的...

    数字签名技术代码

    1. **数字签名的基本原理**:数字签名通常包括两个步骤:签名生成和签名验证。首先,发送者使用自己的私钥对消息的散列值进行加密,生成数字签名;然后,将原始消息和生成的签名一起发送给接收者。接收者收到后,...

    (纯算法,没有调用库)python实现RSA数字签名代码、ppt、文档.rar

    在这个资源包中,包含的是使用Python纯算法实现RSA数字签名的代码、相关的PPT演示文稿以及文档,这些内容将帮助我们深入理解RSA数字签名的工作原理和实现过程。 1. **RSA算法基础** RSA算法基于大数因子分解的困难...

    数字签名源代码c++代码

    在提供的压缩包中,`RSA.chm`可能是一个帮助文档,包含了关于RSA算法和数字签名的详细理论解释,以及如何使用提供的C++源代码。`RSA.exe`很可能是编译后的可执行程序,用户可以直接运行来体验RSA数字签名的过程。...

    数字签名克隆工具

    数字签名克隆工具的工作原理通常涉及以下步骤: 1. **提取签名**:工具首先从已签名的可执行文件中提取数字签名信息。 2. **克隆签名**:然后,它将这些信息应用到另一个可执行文件上,即使这个文件可能是恶意的。 3...

    filedsv 数字签名的软件

    本文将深入探讨数字签名的基本概念,filedsv软件的功能,以及如何利用它来进行数字签名的验证。 **数字签名的概念** 数字签名并非我们日常生活中笔迹的电子版,而是基于公钥加密技术的一种安全机制。它结合了哈希...

    数字签名添加器 数字签名添加器

    数字签名在IT行业中扮演着至关重要的角色,尤其是在软件开发、数据安全和电子交易等领域。它是一种先进的加密技术,用于验证文件或代码的完整性和发送者的身份。数字签名添加器是专门设计用来为软件或文档添加这种...

    数字签名文件,数字签名文件

    此外,在企业环境中,数字签名同样发挥着关键作用,它能够确保供应链的安全,避免关键代码在传播过程中被篡改,保障软件更新和分发的完整性。 总之,数字签名是一种重要的网络安全技术,它提供了数据完整性和身份...

    数字签名-电子书1.P2P分布式数字签名系统2.取得数字签名和密码系统公开密钥的方法3数字签名原理及技术4.一种基于摘要口令加密私钥的数字签名模式

    所谓"数字签名"就是通过某种密码运算生成一系列符号及代码组成电子密码进行签名,来代替书写签名或印章,对于这种电子式的签名还可进行技术验证,其验证的准确度是一般手工签名和图章的验证而无法比拟的。"数字签名...

    dsa数字签名算法的验证及实现

    如果你能够理解并分析这些代码,将有助于你更深入地理解DSA的工作原理,并可能帮助你在实际项目中实现自己的数字签名解决方案。 总的来说,DSA数字签名算法是网络安全和信息安全的关键组成部分,它通过数学原理确保...

    数字签名添加器

    4. **数字签名添加器的工作原理**:这个工具或代码可能包含了自动化的过程,用户只需要提供应用程序和相关证书信息,工具就会自动计算文件的哈希,使用私钥进行签名,并将签名信息嵌入到可执行文件或安装包中。...

    dss.rar_DSS数字签名_dss_pdf签名_数字签名_数字签名 代码

    通过这些源代码,开发者可以深入理解DSS数字签名的实现原理,包括如何生成和验证数字签名,以及如何实现公钥和私钥的交换。这不仅有助于学习密码学基础,还能为开发安全应用程序提供实际参考。对于希望在PDF文档中...

    C#实现数字签名算法

    本篇文章将深入探讨C#中数字签名的原理、实现方式以及相关源代码。 数字签名通常基于非对称加密算法,如RSA或DSA。它的工作原理是:发送者使用私钥对消息的哈希值进行加密,这个加密后的结果就是数字签名。接收者...

    PKI实现源码,数字签名

    标题"PKI实现源码,数字签名"揭示了主要内容,即公开密钥基础设施(Public Key Infrastructure,简称PKI)的源代码实现,以及与数字签名相关的技术。这通常涉及到如何利用PKI来确保网络通信的安全,以及如何通过数字...

    易语言验证微软数字签名源码

    首先,理解数字签名的基本原理至关重要。数字签名是通过一种非对称加密算法(如RSA)实现的,它结合了公钥和私钥的概念。开发者使用私钥对软件或代码进行签名,而用户则用对应的公钥进行验证。如果签名有效,那么...

    数字签名添加器加强版

    数字签名的工作原理如下: 1. **散列函数**:首先,软件的内容通过一个不可逆的散列函数(如SHA-256)处理,生成一个固定长度的哈希值。这个哈希值可以看作是软件内容的指纹,任何内容的微小变化都会导致哈希值的...

    数字签名数字签名数字签名

    总的来说,数字签名在保护网络通信、确保软件源代码完整性和验证身份等方面发挥着至关重要的作用。它们是现代信息技术中不可或缺的安全组件,尤其在电子商务、云计算和物联网等领域。了解并正确使用数字签名技术对于...

    C++编写的rsa数字签名程序源代码

    这个压缩包中的“rsa数字签名”文件很可能是包含了C++实现RSA数字签名的源代码。源代码可能会包含以上提到的各个步骤的实现,以及可能的错误检查和异常处理。通过阅读和理解这些代码,你可以深入学习RSA算法的细节...

Global site tag (gtag.js) - Google Analytics