Code Signingサービスソリューション

コードサイニング とは、デジタル署名を使用してソフトウェアやソースコードにデジタル署名を行い、コードの真正性と完全性を確認するプロセスです。 これにより、コードが検証済みのソフトウェア発行者または開発者から提供されたものであり、署名後に改ざんや破損がないことを保証します。このプロセスは、安全な開発環境全体で使用される最新のCode Signingソリューションの中核をなしています。

コードサイニングは、ソフトウェア配布における信頼とセキュリティを維持するために不可欠です。 メリットには以下が含まれます：

• コードの完全性の確保： コードサイニングは、コードが改ざんされていないことを検証し、配布プロセス全体を通してその完全性を保証します。
• 発行者の認証： サーバー証明書を使用して、ソフトウェアの出所を確認し、ソフトウェアの発行者や開発者の身元を検証します。
• 悪意のあるコードからの保護： 不正な改ざんやマルウェアの組み込みを防ぎ、ユーザを潜在的な脅威から保護します。
• コンプライアンスと信頼の維持： OSやブラウザーなど多くのプラットフォームでは、インストールや実行に署名入りコードを要求し、コンプライアンスを確保し、エンドユーザの信頼を築いています。

コードサイニングのプロセスは以下の通りです：

• 鍵の生成： ソフトウェアの開発者または発行者は、秘密鍵と公開鍵の2つの暗号鍵を生成します。 組織は公開鍵をCertificate Authority（CA）に提出し、コード署名証明書を要求します。
• 証明書の取得： 認証局は、開発者のIDを確認し、発行元のデジタル署名付き証明書要求を認証します。
• デジタル署名： サイニングツールを使って、開発者は自身のコードサイニング証明書の秘密鍵をソフトウェアやソースコードに適用します。 これにより、ソフトウェアと開発者のIDを紐づけたデジタル署名が作成されます。
• 配信： 署名済みのコードが配布されると、エンドユーザやシステムは、サーバー証明書に埋め込まれた公開鍵を使用して、そのコードの真正性と完全性を検証することができます。 これにより、改ざんや悪意のあるコードが挿入されていないことが確認されます。

コード署名証明書は、認証局が発行するサーバー証明書の一種であり、ソフトウェア発行者または開発者の身元を確認します。 コードサイニング証明書は、署名済みのコードが信頼できるソースから提供されていることを確認し、悪意のある第三者によるなりすましを防ぐことで、コードサイニングプロセスにおいて重要な役割を果たしています。

OVおよびEVコード署名は、検証プロセス、セキュリティ機能、信頼レベルが異なる2種類の証明書です。

• Organization Validation（OV）： OV証明書は、標準的な確認手続きによって組織の身元を検証し、開発者のシステム上に秘密鍵を保存することを可能にします。 小規模な組織や内部アプリケーションに適しており、基本的な信頼レベルを提供します。
• Extended Validation（EV）： EVコード署名証明書は、USBトークンなどの改ざん防止デバイスに格納された秘密鍵を用いて、物理的および運用上のチェックを含む厳格な検証を必要します。 より高い信頼レベルを提供し、SmartScreenの警告を回避し、広く配布されているソフトウェアや知名度の高いソフトウェアに最適です。

コードサイニングサービスは、組織にコードサイニングのための安全なインフラストラクチャとツールを提供することで、デジタル署名プロセスを簡素化します。 このサービスは、コンプライアンスとスケーラビリティを確保しながら署名済みコードを保護する必要があるソフトウェア発行者や開発者にとって特に有益です。最新のCode Signingサービスには、ロールベースのアクセス制御、監査ログ、自動化されたDevOpsパイプラインのサポートなどの機能が含まれる場合があります。

Entrust Code Signing Gatewayは、組織のコードサイニングプロセスを簡素化し、保護するために設計された、安全でスケーラブルなソリューションです。 ソフトウェア開発者や開発者が、耐タンパ性の環境で署名鍵と証明書を一元管理するのに役立ちます。

特徴：

• 一元的な鍵の管理： 安全なハードウェア・セキュリティ・モジュール（HSM）で署名鍵を保護し、暗号鍵の安全性と組織の管理下にあることを確保します。 
• 合理化されたコードサイニング操作： ポリシーとワークフローにより署名プロセスを自動化し、ソフトウェア開発の一貫性と効率性を確保します。
• セキュリティとコンプライアンスの強化： 悪意のあるコードの挿入の防止など、コードサイニングの実施がセキュリティ標準や規制要件に準拠していることを確保します。 
• DevOpsパイプラインとの統合： 最新のソフトウェア開発ワークフローへのシームレスな統合をサポートし、業務を中断することなく安全なコードサイニングを実現します。

Entrust Code Signing Gatewayにより、組織は署名鍵を保護し、署名済みコードの完全性を確保し、認証および検証されたソフトウェアを通じてエンドユーザとの信頼関係を構築することができます。安全なスケールアップと管理の維持を目指す企業にとって、強力なCode Signingソリューションです。