Какой смысл подписывать ваш код, например, Java jars, когда каждый может сделать это с помощью jarsigner? Как это обеспечивает безопасность?
Какой смысл подписывать код, например, банки?
Ответ 1
Точкой подписания JAR файла является проверка того, что он не был подделан. Как только файл jar подписан, вы можете проверить, что этот файл не был изменен кем-то другим. Это гарантирует, что файл возникнет у человека, который его первоначально подписал. Если кто-то изменил файл между процессом проверки подписи, произойдет сбой. Вы можете проверить эту статью для более подробной информации о том, как криптография с открытым ключом может использоваться для выполнения цифровой подписи.
Ответ 2
Когда вы подписываете файл jar, вы можете показать, что именно вы подписали его, а не кто-то еще.
Это та же идея, когда вы подписываете документ - только вы можете написать свою подпись. Другие люди могут его подписать, но они подпишут его подписью, а не вашей.
С рукописными подписями квалифицированный фальсификатор может научиться копировать свою подпись. С цифровыми подписями гораздо сложнее сделать копию, потому что вам нужно получить секретный ключ этого человека. Без закрытого ключа вы не можете создать подпись, которая выглядит как их.
Ответ 3
Подписание флага связывает содержимое с конкретным сертификатом. Итак, что это за сертификат?
Если закрытый ключ для сертификата был украден, то не очень. Существуют защищенные от несанкционированного доступа устройства для хранения секретных ключей. Однако часто частные ключи часто лежат на машинах разработчика. Эти машины, вероятно, недостаточно защищены.
Сертификат сам может быть подписан известным центром сертификации (CA). Таким образом, у конечного пользователя есть определенная уверенность в том, что контент имеет заявленное происхождение. Величина проверки, которой владеет владелец ключа сертификата, зависит от того, на кого они претендуют. Это привело к тому, что ЦС упростили процедуры, предлагая более низкие цены.
Даже для непроверенных сертификатов различный контент, подписанный с тем же сертификатом, показывает общее происхождение. Поэтому, если вы принимаете решение доверять сертификату, вы можете получать больше контента из одного и того же источника, не доверяя кому-либо еще.