在公钥密码学中，代码签名是基于证书的数字签名的特定用途，它使组织能够验证软件发布者的身份并证明软件自发布以来没有被更改。
数字签名为软件发布者和内部开发团队提供了经过验证的加密过程，以保护其最终用户免受网络安全威胁，包括高级持续性威胁 (APT)，例如 Duqu 2.0。数字签名可确保软件的完整性和真实性。数字签名使最终用户能够验证发布者身份，同时验证安装包自签名以来未发生过更改。所有现代操作系统都会在安装过程中查找和验证数字签名，有关未签名代码的警告可能会导致最终用户放弃安装。
为了创建应用程序，开发人员依赖许多不同的工具、程序和人员。软件开发生命周期(SDLC)中的代理和参与者的集合称为软件供应链。在开发、生产和部署期间接触或影响应用程序的任何东西都被视为软件供应链的一部分。其中包括开发人员、依赖项、网络接口和DevOps实践。
由于您正在处理多个移动部件（包括开源材料、API等），因此了解软件供应链中每个组件的安全性至关重要。加强软件供应链的安全性可确保源代码在通过此链时不会给网络攻击者或其他不良行为者留下任何入侵的空间。这可确保已发布应用程序的安全性和真实性。
代码签名是加强安全性的重要方法。代码签名可确保最终发布的软件来自原始发布者，并且未被未经授权的各方篡改。
本文探讨了代码签名、其工作原理及其在强化应用程序安全性方面的重要性。它还介绍了一些在对自己的应用程序进行代码签名时可以遵循的最佳实践。
什么是代码签名？
代码签名将数字签名应用于应用程序、脚本、驱动程序和其他软件组件，以证明它们来自原作者。软件作者每次进行更改时都会对代码进行签名，确保没有任何操作是未经授权的。
组织通常会签署代码以确认所有更改都是真实且有记录的。此举可确保用户不会获得存在漏洞或安全风险的应用程序。
在团队环境中工作时，代码签名也很有用。您可以在整个SDLC中交换源代码时使用代码签名来确保双重身份验证、防止攻击，甚至防止命名空间冲突。
代码签名遵循三步流程：创建公私密钥、散列、描述和验证。
申请代码签名证书
一、申请人将单位名称确定好。
二、提交到Gworg申请并且提供申请人姓名，电话，邮箱。
三、电话或者邮箱进行确定身份与在线实名一般2-5个工作日。
四、等待接收代码签名证书，具体看机构10-15天左右。
结论
您的软件供应链可能规模庞大、复杂且相互关联。这使得它容易受到漏洞和攻击。漏洞可能是无意的，例如配置错误或意外输入错误。或者它们可能是严重的、有针对性的，例如攻击者将恶意代码注入您的软件，导致发布后遭受严重的网络攻击。
代码签名是保护软件供应和分销链不可或缺的一部分；它是一种向用户保证已发布应用程序安全的方法。您可以将代码签名用于安全相关的目的，例如保护易受攻击的依赖项免受恶意软件攻击。
为了确保您的应用程序安全并确保您的代码签名工作彻底有效，请遵循最佳实践，例如维护安全密钥、扫描漏洞以及在签名时使用时间戳。
