Algunas consideraciones sobre los certificados de firma de código

[WHILENOTEOF]

Ya me imaginaba que no sería lo mismo. ¿podrías decir cuanto cuesta un certificado de esos? ¿algún ejemplo o link de empresa que los ofrezca?. No sé si una opción puede ser descargar aplicaciones en equipos con Windows 10 vía store, ahí creo que es más barato acceder como desarrollador e imagino que no dará problemas en la instalación si has pasado el filtro para publicarla.

[dec]

Hola a todos,

Empezado por WHILENOTEOF

Ya me imaginaba que no sería lo mismo. ¿podrías decir cuanto cuesta un certificado de esos? ¿algún ejemplo o link de empresa que los ofrezca?. No sé si una opción puede ser descargar aplicaciones en equipos con Windows 10 vía store, ahí creo que es más barato acceder como desarrollador e imagino que no dará problemas en la instalación si has pasado el filtro para publicarla.

Los precios varían una barbaridad, puesto que van de una horquilla de 200 euros hasta 800 euros anuales. Las empresas que los ofrecen son Comodo, Thawte, Digicert y algunas otras. Pero, quiero insistir en lo dicho: ya no es cuestión de precio, es también cuestión de requisitos: parece que al menos algunas de estas empresas ya no ofrecen certificados a individuos, sólo a empresas.

Respecto de lo que dices de Windows 10 puede ser un buen punto, pero, eso dejería fuera automáticamente a clientes con Windows 7 y Windows 8. Supuesto el caso de que en esta tienda acepten ejecutables así sin más... y, por otro lado, ¿no sería esto obligarnos a publicar en dicha tienda de Windows? ¿Qué pasa si yo quiero seguir como hasta ahora, publicando mis programas en mi propio sitio web?

[dec]

Hola a todos,

Lo comento por aquí, porque, es reciente, y, porque, no es el primer artículo que leo del mismo cariz:

https://www.adlice.com/what-is-code-signing/

Code Signing Policy changes in Windows 10 Anniversary Edition (1607) and the implication on Adlice Tools. With the release of Windows 10 version 1607, Microsoft now requires kernel-mode drivers to be signed using EV certificates.

As we saw above, EV certificates are more secure because they need higher levels of requirement to be obtained and because the probability to be stolen is virtually null since they are tied to hardware devices (HSM). However, their high cost is an impediment to independent developers and small companies. We, at Adlice Software, are in this case.

....

Conclusion

Code signing is an invaluable approach to better protect users from malicious contents, to authenticate the publisher of an executable and to protect a file from unwanted modifications.

For the time being, a digital signature in a file does not mean it’s safe. In the future, if EV certificates become cheaper and more straightforward to obtain, we can make the assumption it could become true.

Y la gente no se queja (nos quejamos) sólo del precio, sino, de los requisitos que piden para obtener el certificado de marras. Nótese que este chico en concreto está hablando de un certificado para firmar "drivers", pero, antes de que nadie vaya a comentar sobre esto, ocurre igual para certificados de firma de código "normales". Siguen siendo caros y difíciles de conseguir.

En fin, esto pinta muy mal, desafortunadamente.

[jhonny]

De momento no me ha afectado en mayor medida, sin embargo a futuro es preocupante esta situación, por otro lado uno quisiera firmar su software pero con semejantes precios y requisitos... pues será poner en el manual de usuarios que hagan click en aceptar a todos los letreros rojos que les salgan.

[dec]

Hola a todos,

Empezado por jhonny

De momento no me ha afectado en mayor medida, sin embargo a futuro es preocupante esta situación, por otro lado uno quisiera firmar su software pero con semejantes precios y requisitos... pues será poner en el manual de usuarios que hagan click en aceptar a todos los letreros rojos que les salgan.

Así lo veo yo también Jhonny: aunque al final yo obtuviese un número "DUNS", cosa que puede llevar unos 30 días, y, veremos si es realmente gratuito o qué... lo cierto es que, para obtener un número "DUNS", hace falta estar dado de alta como autónomo. Es decir, ya no sólo es una cuestión de dinero, que también, sino que, ahora mismo, un chaval aficionado a crear programas con Delphi, pongamos por caso, no puede firmar sus programas si no está dado de alta como autónomo, etc.

O sea, incluso cuando yo pudiese conseguir el certificado (que está por ver), no me gusta nada cómo está montado todo este asunto. Y, por otro lado, lo de indicar a posibles clientes "que acepten los mensajes de advertencia", ya hay gente que está haciendo esto (por lo difícil de obtener un certificado y por su precio), pero, es que esto cada vez está peor... en Windows 7 era una advertencia, en Windows 10 son dos pantallas "rojas" por las que el usuario ha de pasar. De hecho, para ejecutar un programa no firmado, se precisan al menos cinco "clics" en lugar de los dos "habituales".

En fin, que es lo que trato de decir, que, parece que la gente que no está dada de alta en autónomos, la gente que hace programas por gusto, por ejemplo, o que, está intentando salir adelante (y no puede darse de alta en autónomos por el gasto que conlleva), esta gente, digo, puede que no tenga opción a conseguir un certificado con el que firmar sus propios programas... incluso en el caso de estar dispuesto a pagar lo que valen, simplemente, no cumplirá los requisitos impuestos...