कोड साइनिंग: Difference between revisions

{{Short description|Software authentication}}कोड साइनिंग सॉफ्टवेयर स्क्रिप्ट को कन्फर्म करने और यह गारंटी देने के लिए [[निष्पादन|एक्सेक्यूटेबल्स]] और स्क्रिप्ट पर [[डिजिटल हस्ताक्षर और कानून|डिजिटल रूप से साइनिंग]] करने की प्रक्रिया है कि कोड पर साइनिंग किए जाने के पश्चात से उसे ऑल्टड या कर्रप्टेड नहीं किया गया है। यह प्रोसेस ऑथेंटिसिटी और इंटीग्रिटी को वैलिड करने के लिए क्रिप्टोग्राफ़िक हैश का उपयोग करती है।<ref>{{Cite web|url=https://msdn.microsoft.com/en-us/library/ms537361(v=vs.85).aspx|title=Introduction to Code Signing}}</ref> कोड साइनिंग का आविष्कार 1995 में माइकल डॉयल द्वारा ईओलास वेबविश ब्राउज़र प्लग-इन के भाग के रूप में किया गया था, जिसने एक सीक्रेट की का उपयोग करके डाउनलोड करने योग्य वेब ऐप प्रोग्राम कोड पर साइनिंग करने के लिए पब्लिक-की क्रिप्टोग्राफी के उपयोग को सक्षम किया, जिससे प्लग-इन कोड इंटरप्रेटर कर सके। फिर कोड इंटरप्रेटर के एपीआई तक एक्सेस करने की अनुमति देने से पहले कोड को ऑथेंटिकेट करने के लिए संबंधित पब्लिक की का उपयोग किया जाता है। <ref>{{Cite web|url= https://archive.org/details/dr_dobbs_journal-1996_02/page/22/mode/2up|title=WebWish: Our Wish is Your Command}}</ref>

कोड साइनिंग कई वैल्युएबल फीचर प्रदान कर सकते हैं। कोड साइनिंग का सबसे सरल उपयोग डेप्लॉयिंग के समय सिक्योरिटी प्रदान करना है; कुछ प्रोग्रामिंग लैंग्वेज में, इसका उपयोग नेमस्पेस कन्फ्लिक्ट्स को प्रिवेंट में सहायता के लिए भी किया जा सकता है। लगभग सभी कोड साइनिंग इम्प्लीमेंटेशन ऑथर या बिल्ड सिस्टम की आइडेंटिटी को वेरीफाई करने के लिए कुछ प्रकार के डिजिटल साइनिंग मैकेनिज्म प्रदान करेगा, और यह वेरीफाई करने के लिए[[ अंततः, | चेकसम]] प्रदान करेगा कि ऑब्जेक्ट को मॉडिफाई नहीं किया गया है। इसका उपयोग किसी ऑब्जेक्ट के बारे में वर्जनिंग इनफार्मेशन प्रदान करने या किसी ऑब्जेक्ट के बारे में अन्य [[ मेटाडाटा |मेटाडाटा]] स्टोर करने के लिए भी किया जा सकता है।<ref>{{cite web |url= https://www.cabforum.org/wp-content/uploads/Baseline_Requirements_V1.pdf|title= विश्वसनीय प्रमाणपत्रों का संपूर्ण अवलोकन - CABForum|year=2015 |last1=Hendric |first1=William |access-date=2015-02-26}}</ref>

कई कोड साइनिंग इम्प्लीमेंटेशन [[ परिवहन परत सुरक्षा |टीएलएस]] या [[ सुरक्षित खोल |एसएसएच]] द्वारा एम्प्लॉयड प्रोसेस के समान, की पेयर, पब्लिक और प्राइवेट को सम्मिलित करते वाले सिस्टम का उपयोग करके कोड पर साइनिंग करने का मेथड प्रदान करेंगे। उदाहरण के लिए, .NET के केस में, डेवलपर बिल्ड करते समय अपनी लाइब्रेरी या एक्सेक्यूटेबल्स पर साइनिंग करने के लिए प्राइवेट की का उपयोग करता है। यह की किसी डेवलपर या ग्रुप या कभी-कभी पर एप्लिकेशन या ऑब्जेक्ट के लिए यूनिक होगी। डेवलपर या तो यह की स्वयं उत्पन्न कर सकता है या किसी ट्रस्टड सर्टिफिकेट अथॉरिटी (सीए) से प्राप्त कर सकता है।<ref>{{Cite web |url = https://www.instantssl.com/code-signing-certificate.html |title =  What is Code Signing? |date = 17 June 2011 |first = William |last = Hendric |access-date = 26 February 2015}}</ref>

'''प्रमाणपत्र प्राधिकारी (सीए) का उपयोग करके विश्वसनीय पहचान'''

कोड साइनिंग को प्रमाणित करने के लिए उपयोग की जाने वाली [[सार्वजनिक कुंजी|पब्लिक की]] को विश्वसनीय रूट अथॉरिटी सीए में वापस खोजा जाना चाहिए, अधिमानतः एक सुरक्षित पब्लिक की इंफ्रास्ट्रक्चर (पीकेआई) का उपयोग करके। यह सुनिश्चित नहीं करता है कि कोड पर ही भरोसा किया जा सकता है, केवल यह कि यह बताए गए सोर्स से आता है (या अधिक स्पष्ट रूप से, किसी विशेष प्राइवेट की से)।<ref>https://casecurity.org/wp-content/uploads/2013/10/CASC-Code-Signing.pdf {{Bare URL PDF|date=March 2022}}</ref> एक सीए एक रूट ट्रस्ट स्तर प्रदान करता है और प्रॉक्सी द्वारा दूसरों को ट्रस्ट सौंपने में सक्षम होता है। यदि कोई उपयोगकर्ता किसी सीए पर भरोसा करता है, तो उपयोगकर्ता संभवतः उस सीए या उसके किसी प्रॉक्सी द्वारा उत्पन्न की के साथ साइनिंगित कोड की वैधता पर भरोसा कर सकता है। कई ऑपरेटिंग सिस्टम और फ्रेमवर्क में एक या अधिक प्रमाणन प्राधिकरणों के लिए अंतर्निहित विश्वास होता है। बड़े संगठनों के लिए संगठन के आंतरिक प्राइवेट सीए को लागू करना भी सरल बात है, जो पब्लिक सीए के समान सुविधाएँ प्रदान करता है, लेकिन इस पर केवल संगठन के भीतर ही भरोसा किया जाता है।

===[[विस्तारित सत्यापन]] (ईवी) कोड पर साइनिंग===

विस्तारित सत्यापन (ईवी) कोड साइनिंग प्रमाणपत्र अतिरिक्त सत्यापन और तकनीकी आवश्यकताओं के अधीन हैं। ये दिशानिर्देश सीए/बी फोरम की बेसलाइन आवश्यकताओं और विस्तारित सत्यापन दिशानिर्देशों पर आधारित हैं। ईवी के लिए विशिष्ट सत्यापन आवश्यकताओं के अलावा, ईवी कोड साइनिंग दिशानिर्देश यह निर्धारित करते हैं कि सब्सक्राइबर की प्राइवेट की एक क्रिप्टो मॉड्यूल में उत्पन्न, स्टोर और उपयोग की जाती है जो FIPS 140-2 स्तर 2 की आवश्यकताओं को पूरा करती है या उससे अधिक है।<ref>{{cite web |title=विस्तारित सत्यापन कोड हस्ताक्षर प्रमाण पत्र जारी करने और प्रबंधन के लिए दिशानिर्देश|url=https://cabforum.org/wp-content/uploads/EV-Code-Signing-v.1.4.pdf |publisher=CA/Browser Forum |access-date=4 December 2019}}</ref>

फ़ाइल या प्रकाशक.<ref>{{cite web |title=माइक्रोसॉफ्ट स्मार्टस्क्रीन और विस्तारित सत्यापन (ईवी) कोड हस्ताक्षर प्रमाणपत्र|url=https://blogs.msdn.microsoft.com/ie/2012/08/14/microsoft-smartscreen-extended-validation-ev-code-signing-certificates/ |publisher=Microsoft |access-date=9 December 2019}}</ref>

'''नमूना ईवी कोड साइनिंग प्रमाणपत्र'''

यह सॉफ्टवेयर पर साइनिंग करने के लिए SSL.com द्वारा उपयोग किए जाने वाले डिकोडेड ईवी कोड साइनिंग प्रमाणपत्र का एक उदाहरण है। <code>SSL.com EV Code Signing Intermediate CA RSA R3</code> इसे जारीकर्ता के सामान्य नाम के रूप में दिखाया गया है, जो इसे ईवी कोड साइनिंग प्रमाणपत्र के रूप में पहचानता है। प्रमाणपत्र का <code>Subject</code> फ़ील्ड एसएसएल कॉर्प को एक संगठन के रूप में वर्णित करता है। <code>Code Signing</code> एकमात्र X509v3 विस्तारित की उपयोग के रूप में दिखाया गया है।

     डेटा:

        संस्करण: 3 (0x2)

        क्रम संख्या:

     साइनिंग एल्गोरिथ्म: sha256WithRSAएन्क्रिप्शन

         जारीकर्ता:

             सामान्य नाम = SSL.com EV कोड साइनिंग इंटरमीडिएट CA RSA R3

             संगठन का नाम = एसएसएल कॉर्प

             इलाके का नाम = ह्यूस्टन

             stateOrProvinceName = टेक्सास

             देश का नाम = यूएस

         वैधता

             इससे पहले नहीं: अगस्त 30 20:29:13 2019 GMT

             इसके पश्चात नहीं: 12 नवंबर 20:29:13 2022 GMT

         विषय:

             1.3.6.1.4.1.311.60.2.1.3 = यूएस

             1.3.6.1.4.1.311.60.2.1.2 = नेवादा

             सड़क का पता = 3100 रिचमंड एवेन्यू स्टी 503

            व्यवसायश्रेणी = प्राइवेट संगठन

            पोस्टलकोड = 77098

            सामान्य नाम = एसएसएल कॉर्प

            क्रम संख्या = एनवी20081614243

            संगठन का नाम = एसएसएल कॉर्प

            इलाके का नाम = ह्यूस्टन

            stateOrProvinceName = टेक्सास

            देश का नाम = यूएस

        विषय पब्लिक की जानकारी:

             पब्लिक की एल्गोरिथम: rsaएन्क्रिप्शन

                 पब्लिक की: (2048 बिट)

                 मापांक:

                 प्रतिपादक: 65537 (0x10001)

         X509v3 एक्सटेंशन:

             X509v3 प्राधिकरण की पहचानकर्ता:

             प्राधिकरण सूचना एक्सेस:

                 सीए जारीकर्ता - यूआरआई:http://www.ssl.com/repository/SSLcom-SubCA-EV-CodeSigning-RSA-4096-R3.crt

                 ओसीएसपी - यूआरआई:http://ocsps.ssl.com

             X509v3 प्रमाणपत्र नीतियाँ:

                 नीति: 2.23.140.1.3

                 नीति: 1.2.616.1.113527.2.5.1.7

                 नीति: 1.3.6.1.4.1.38064.1.3.3.2

                   सीपीएस: https://www.ssl.com/repository

             X509v3 विस्तारित की उपयोग:

                 कोड पर साइनिंग

             X509v3 CRL वितरण बिंदु:

                 पूरा नाम:

                   यूआरआई:http://crls.ssl.com/SSLcom-SubCA-EV-CodeSigning-RSA-4096-R3.crl

             X509v3 विषय की पहचानकर्ता:

             X509v3 की उपयोग: महत्वपूर्ण

                 अंगुली का साइनिंग

    साइनिंग एल्गोरिथ्म: sha256WithRSAएन्क्रिप्शन

         17:d7:a1:26:58:31:14:2बी:9एफ:3बी...

दूसरा मॉडल प्रथम उपयोग मॉडल पर भरोसा है, जिसमें डेवलपर्स अपनी स्वयं-निर्मित की प्रदान करना चुन सकते हैं। इस परिदृश्य में, उपयोगकर्ता को सरल तौर पर पहली बार ऑब्जेक्ट को सत्यापित करने के लिए सीधे डेवलपर से पब्लिक की प्राप्त करनी होगी। कई कोड साइनिंग प्रणालियाँ पब्लिक की को साइनिंग के अंदर स्टोर करेंगी। कुछ सॉफ्टवेयर फ्रेमवर्क और ओएस जो निष्पादित करने से पहले कोड के साइनिंग की जांच करते हैं, आपको पहले रन के पश्चात उस बिंदु से उस डेवलपर पर भरोसा करने का विकल्प चुनने की अनुमति देंगे। एक एप्लिकेशन डेवलपर इंस्टॉलर के साथ पब्लिक की सम्मिलित करके एक समान प्रणाली प्रदान कर सकता है। की का उपयोग यह सुनिश्चित करने के लिए किया जा सकता है कि किसी भी आगामी ऑब्जेक्ट को चलाने की आवश्यकता है, जैसे अपग्रेड, प्लगइन्स, या अन्य एप्लिकेशन, सभी उसी डेवलपर से आने के रूप में सत्यापित हैं।

'''समय-स्टैम्पिंग'''

टाइम-स्टैम्पिंग को विश्वास चेतावनी से बचने के लिए डिज़ाइन किया गया था जो कि समाप्त प्रमाणपत्र के मामले में दिखाई देगी। वास्तव में, टाइम-स्टैम्पिंग किसी प्रमाणपत्र की वैधता अवधि से परे कोड ट्रस्ट को बढ़ाती है।<ref name=morton>{{cite web|last=Morton|first=Bruce|title=कोड पर हस्ताक्षर|url=https://casecurity.org/wp-content/uploads/2013/10/CASC-Code-Signing.pdf|publisher=CASC|access-date=21 February 2014}}</ref> ऐसी स्थिति में जब किसी समझौते के कारण प्रमाणपत्र को रद्द करना पड़ता है, तो समझौते की घटना की एक विशिष्ट तिथि और समय रद्दीकरण रिकॉर्ड का हिस्सा बन जाएगा। इस मामले में, टाइम-स्टैम्पिंग यह स्थापित करने में सहायता करती है कि कोड पर साइनिंग प्रमाणपत्र से समझौता होने से पहले या पश्चात में किया गया था।<ref name=morton/>

'''[[Xcode]] में कोड साइनिंग'''

डेवलपर्स को किसी भी वास्तविक डिवाइस पर चलाने से पहले और [[ऐप स्टोर (आईओएस)]] पर अपलोड करने से पहले अपने आईओएस और टीवीओएस ऐप पर साइनिंग करने की आवश्यकता होती है। यह साबित करने के लिए आवश्यक है कि डेवलपर के पास वैध Apple डेवलपर आईडी है। किसी एप्लिकेशन को एक वैध प्रोफ़ाइल या प्रमाणपत्र की आवश्यकता होती है जिससे वह डिवाइस पर चल सके।

यह �