Preguntas más frecuentes sobre los certificados de firma de código

P: ¿Para qué se utilizan los certificados de firma de código?

R: Se recomienda el uso de certificados de firma de código a todos los editores que distribuyan código o contenidos en Internet o en redes corporativas. Los clientes comprenden los riesgos asociados a la descarga de archivos en línea y, por tanto, confían mucho más en los archivos firmados que en los no firmados. Al ver la firma del editor, el cliente entiende que el archivo es auténtico y no contiene malware. La firma del editor es una forma fiable de proteger la aplicación de cualquier interferencia de terceros.

P: ¿Qué documentos se necesitan para solicitar un certificado de firma de código?

R: Los certificados Code Signing estándar están disponibles para empresarios individuales y personas jurídicas.

En el caso de Sectigo(Comodo) necesitará:

• un enlace a una base de datos gubernamental con el registro de su empresa;
• datos de contacto: nombre, correo electrónico, teléfono, cargo;
• un escaneado de un documento de identidad con fotografía emitido por el gobierno (como pasaporte, permiso de conducir, etc.) para verificar el solicitante (contacto administrativo) en el pedido;
• un selfie con una identificación con foto emitida por el gobierno [pasaporte, licencia de conducir] (debe contener foto, nombre).
  Es un requisito obligatorio de Sectigo, más detalles:
  https://sectigo.com/knowledge-base/detail/OV-Code-Signing-Validation-for-Organizations-and-Individuals/kA01N000000brb0
• para la verificación del número de teléfono: un enlace a un directorio en línea con el registro de tu empresa (de kompass.com o número DUNS).
  Este perfil debe contener el nombre de la empresa, la dirección y el número de teléfono.

En el caso de Digicert necesitará

• un enlace a una base de datos gubernamental con el registro de su empresa;
• datos de contacto: nombre, correo electrónico, teléfono, cargo;
• Para verificar el número de teléfono: registro de la empresa en dnb.com/DUNS o registro estatal con un número de teléfono.

En el caso de Certum necesitará

• Documento de registro de la organización
• Autorización/Poder notarial: Firmado de acuerdo con la forma de representación especificada en el documento de registro. *Sólo se requiere si la persona que solicita el certificado no está autorizada a representar a la organización de forma independiente.
• Factura de servicios públicos (necesaria sólo para EV): una factura de servicios públicos emitida a nombre de la organización que confirme la dirección actual de la sede de la empresa (por ejemplo, factura de gas, electricidad, agua, teléfono fijo, Internet fijo, alquiler de espacio de oficina o contrato de arrendamiento).

LeaderTelecom no emite certificados Code Signing a particulares.

El certificado Code Signing EV sólo está disponible para personas jurídicas. Los requisitos para su emisión son los mismos, pero la verificación es más exhaustiva (se comprueban las fuentes estatales).

P: ¿Cómo se firma un código con un certificado Code Signing?

R: Para firmar un código, debe pasarlo por un algoritmo hash especial y, a continuación, utilizar su clave privada para firmar el hash, lo que le proporciona una firma digital. A continuación, debe crear un bloque de firma que contenga la firma digital y el certificado de firma de código. Herramientas como Authenticode le permiten establecer una marca de tiempo para un bloque de firma basada en la fecha y hora actuales. Por último, vincula el bloque de firma con una marca de tiempo al software. Ahora puede publicar un programa firmado en su sitio web para su descarga.

La marca de tiempo es necesaria para garantizar que la validez del código no expira con el periodo de validez del certificado de firma de código. Si su código tiene una marca de tiempo, la firma digital será válida incluso después de la expiración del certificado. Sólo será necesario un nuevo certificado si desea firmar un código adicional. Si no utilizó la posibilidad de añadir marcas de tiempo durante el proceso de firma de la solicitud, tendrá que volver a firmar el código y enviarlo a sus clientes.

P: ¿Cómo se utiliza el certificado después de comprarlo?

R: Depende del tipo de certificado. Puede encontrar las instrucciones aquí

P: ¿Qué ocurre si caduca el certificado de firma de código?

R: Los certificados Code Signing se emiten por un periodo de uno a tres años. La caducidad de un certificado de Code Signing significa que no podrá crear nuevas firmas. Todas las firmas anteriores funcionarán durante un plazo determinado.

En el caso de Microsoft Authenticode, el uso de marcas de tiempo significa que el código no caducará cuando caduque el certificado.

Si no se utilizan marcas de tiempo, cuando caduque el certificado tendrá que volver a firmar el código y enviarlo a sus clientes.

Conviene recordar que algunos certificados no admiten la creación de marcas de tiempo (por ejemplo, los certificados para Netscape Object Signing y Sun Java).

P: ¿Cuál es la diferencia entre la firma de código y la firma de documentos? ¿Puedo firmar archivos PDF con certificados Code Signing normales?

R: En la mayoría de los casos, los certificados Code Signing tienen una extensión extKeyUsage con un valor Code Signing y, a veces, también Code Signing comercial. Sin embargo, no tienen valores que permitan otros usos.

El RFC 5280 para la extensión Extended Key Usage implica que "si se especifica la extensión, el certificado debe utilizarse sólo para lograr uno de los objetivos relevantes".

Sin embargo, en la situación en cuestión, el certificado Code Signing se utiliza para firmar un documento que no es un código, lo que supone una violación directa de la especificación X.509 Public Key Infrastructure Certificates.

Por este motivo, existe una alta probabilidad de que Adobe Reader rechace las firmas PDF generadas mediante el certificado de firma de código. Y, aunque ahora no haya problemas con los certificados, no está garantizado que esto no ocurra en el futuro con el lanzamiento de nuevas versiones de Adobe Reader. Por este motivo, muchos distribuidores de certificados diferencian entre certificados para la firma de código y certificados para la firma de documentos (en particular, certificados para la firma de PDF). Los precios de los certificados PDF suelen ser varias veces superiores.

P: ¿Existen diferencias entre los certificados de firma de código para Java, Adobe AIR, Authenticode y VBS?

R: Como se desprende de la especificación RFC 5280, cualquier certificado de firma de código puede utilizarse para firmar código Java, AIR, Authenticode, VBS, etc. Por consiguiente, desde un punto de vista técnico, no existen diferencias entre los certificados de firma de código.

Sin embargo, algunas autoridades de certificación pueden imponer ciertas restricciones al alcance de sus certificados de firma de código.

P: ¿Cómo se firman los archivos de instalación .msi de Visual Studio? Después de firmar .msi, todos los archivos .exe incluidos en el paquete de instalación pierden sus firmas. ¿Qué se debe hacer para garantizar que las firmas de estos archivos permanezcan durante la instalación del paquete en el equipo del cliente?

R: Visual Studio crea dos carpetas en el momento de la compilación: obj y bin. Los archivos de salida suelen copiarse de la carpeta obj a la carpeta bin. Si firma los archivos de la carpeta bin, más tarde se sobrescribirán con los archivos de la carpeta obj. La solución: firmar los archivos exe ubicados en la carpeta obj. En este caso, se conservarán las firmas de todos los archivos exe.

P: ¿Existe alguna restricción en cuanto al número de aplicaciones que se pueden firmar con un certificado de firma de código?

R: No. Puede firmar tantas aplicaciones como necesite con el certificado de Code Signing, siempre que la aplicación sea distribuida por la organización para la que se emitió el certificado.

P: ¿Puedo firmar controladores (modo Kernel) con un certificado de firma de código?

R: No, desde mayo de 2021 ya no se admite la firma de controladores para Windows 8, 10. Fuente: Deprecation of Software Publisher Certificates.

P: ¿Cómo evitar la pantalla inteligente al instalar una aplicación firmada en Windows® 8/10/11?

R: Debe utilizar el certificado EV Code Signing. Los programas firmados con Code Signing EV son de confianza automáticamente, incluso si no hay reputación para este editor o archivo. Puede establecer la reputación sólo para certificados Authenticode que hayan sido emitidos por una autoridad de certificación que sea miembro del Programa de certificados raíz de Windows®.

Puede solicitarnos los siguientes certificados EV:
Certum EV Code Signing en la nube

Sectigo(Comodo) EV Code Signing

Digicert EV Code Signing

P: ¿Es posible la reputación en SmartScreen utilizando un certificado estándar de Code Signing?

R: Sí, es posible, pero esto requiere alrededor de 3000 descargas de aplicaciones (datos aproximados).

P: ¿Puedo firmar software para Mac utilizando sus productos de Code Signing?

R: No, consulte https://developer.apple.com/support/code-signing/

P: Los archivos PFX ya no están disponibles para los certificados Code Signing. ¿Cuáles son las otras opciones?

R: A partir del 01/06/2023, los archivos PF X dejarán de estar disponibles para los certificados Code Signing.

Las normas modernas exigen que las claves privadas de los certificados de firma de código se generen y almacenen en entornos seguros.

Esto suele implicar el uso de dispositivos de hardware como HSM, tarjetas inteligentes o tokens USB seguros.

La generación de claves privadas en estos dispositivos garantiza que la clave no pueda extraerse ni exportarse, lo que impide la emisión de certificados en formato PFX.

Sectigo ofrece ahora sus certificados en tokens USB:

https://www.leaderssl.com/suppliers/comodo/products/code_signing

https://www.leaderssl.com/suppliers/comodo/products/code_signing_ev

Como alternativa, ahora ofrecemos certificados de Certum:

https://www.leaderssl.com/suppliers/certum/products/code_signing_ev

https://www.leaderssl.com/suppliers/certum/products/code_signing

Se denominan"en la nube".

Tendrá que utilizar una aplicación de escritorio especial y firmar a través de signtool.