Il a déjà été prouvé plusieurs fois que l'authentification à un seul facteur (ex : nom d'utilisateur/ mot de passe) n'est pas fiable. Ajouter un second facteur d'authentification réduit considérablement les risques de violation de sécurité (dans les cas d'authentification des utilisateurs) ou d'utilisation frauduleuse (dans les cas des signatures numériques pour les documents et le code).
L'authentification à double facteur est devenue très populaire pour l'authentification des utilisateurs. De nombreuses entreprises l'intègrent directement dans leurs applications et leurs programmes pour en encourager l'adoption (par ex: Microsoft, Twitter, Google),et nous sommes heureux de vous annoncer que les meilleures pratiques ont enfin atteint la communauté des développeurs sous forme de certificats de signature de code EV (à validation étendue).
Remarque : si vous avez des doutes sur les options à double facteur pour les signatures numériques de documents, sachez que les certificats conformes à Adobe CDS sont toujours conservés sur des clés USB cryptographiques protégées par un mot de passe.
Signature de code EV : l'authentification à double facteur par défaut
La clé privée des certificats de signature de code standard se trouve généralement dans le magasin de certificats de votre système. Le CA/Browser Forum, impose que les certificats de signature de code EV soient conservés sur des clés cryptographiques protégées par un mot de passe. C'est là que l'authentification à double facteur entre en jeu. Vous avez besoin d'une clé cryptographique (quelque chose que vous avez) et d'un mot de passe (quelque chose que vous savez) avant de pouvoir commander votre signature. Il est ainsi bien plus difficile pour des individus malveillants de voler le certificat de signature de développeurs légitimes et de l'utiliser pour répandre du malware.
Bien sûr, rien ne vous empêche de conserver votre certificat de signature de code standard sur une clé USB pour le protéger, mais allez-vous vraiment faire ça ? Irez-vous même jusqu'à le protéger avec un mot de passe ? La signature de code EV soulage les utilisateurs en intégrant le processus de sécurité dans la technologie. C'est pourquoi nous sommes vraiment emballés : ce n'est pas aux utilisateurs de déterminer s'ils devraient ajouter un niveau de sécurité supplémentaire, c'est déjà fait quand ils achètent leur certificat !
Autres fonctionnalités de la signature de code EV
Même si l'aspect 2FA nous rend très enthousiastes, nous nous devons de mentionner les autres avancées de sécurité incluses dans la signature de code EV.
Processus de vérification d'identité plus stricte
Le processus de demande de certificats EV est plus strict que pour les certificats de signature de code standard. Des informations supplémentaires, telles que l'adresse physique du développeur ou le type d'organisation, sont également vérifiées. Plus il y a d'informations à vérifier, plus il est difficile pour un individu malveillant de se faire passer pour un éditeur légitime, afin d'acquérir un certificat en son nom.
Réputation immédiate avec SmartScreen de Microsoft
Introduit dans Windows 8 et Explorer 9.0, Microsoft SmartScreen utilise les informations sur la réputation de l'application pour avertir les utilisateurs si celle-ci n'est pas connue et pourrait être malveillante. Signer votre application avec un certificat de signature de code EV garantit sa réputation immédiate. Cela signifie que les personnes qui l'utiliseront ne recevront pas de messages de sécurité alarmants lorsqu'ils installeront votre application.
Ressources sur la signature de code EV
Nous avons élargi notre service d'assistance de signatures de code en y ajoutant des informations sur les kits de développement et les certificats intermédiaires, ainsi que des instructions détaillées sur le processus de commande des certificats de signature de code selon votre plate-forme de développement.
Comparé à la signature de code standard, l'utilisation d'un certificat de signature de code EV est légèrement différente pour Java et Windows 7 et 8. Vous pouvez lire nos guides EV pour vous aider :
Windows 7 et 8 - https://support.globalsign.com/customer/portal/articles/1698751-ev-code-signing-for-windows-7-and-8
Java - https://support.globalsign.com/customer/portal/articles/1702232-ev-codesigning-in-java
Vous trouverez les instructions pour les autres plates-formes sur notre site : support.globalsign.com.
