獨立開發者的代碼簽名

代碼簽名是一種互聯網信任機制，它使軟件用戶在下載和執行互聯網上的可執行代碼之前先信任它。由于費用及流程的原因，該機制目前尚未向獨立開發者直接開放。但是，現在已經有一些 商店開始向獨立開發者發售 Thawte 代碼簽名證書，年費為 99 美金。

使用數字簽名并不能阻止惡意行為——它只能保證代碼不被非原作者之外的第三方篡改。Tim Heuer 最近寫過一篇博客，總結了開發者獲取證書的流程，給出了需記住的幾點建議。Thawte 提供 5 中不同的證書，分別面向不同的代碼簽名實現——Authenticode、Office/VBA、Java、Adobe AIR 和 Mac。若使用 Authenticode 證書，你甚至可以給在瀏覽之外運行或本地安裝的 Silverlight 應用簽名。

代碼簽名是如何工作的呢？它使用了私鑰-公鑰對和單向 hash 算法。軟件發布者使用自己的私鑰對可執行代碼做簽名，而讓終端用戶使用他（軟件發布者）的公鑰做驗證。CA 機構使用自己的私鑰對軟件發布者的公鑰做簽名。因為 CA 機構是被大多數操作系統信任的，所以終端用戶就能信任軟件發布者的公鑰，進而信任其可執行代碼。Scott Corley 對該過程有更詳細的解釋。

除了使用 CA 之外，你還可以將自己的公鑰公布出去（對方通過下載或安裝獲得你的公鑰），或者在大型可控的部署環境中使用私有 CA（如大公司的內部用戶）。此外，在 Android 或 iOS 等新平臺中這些方法已經夠用，自簽名應用甚至是典型的做法。

查看英文原文：Code Signing For Individual Developers
       來自: InfoQ