Chứng chỉ ký mã cho Java, Adobe AIR, Authenticode, VBS - chúng có khác nhau không?

Question

Chúng tôi có chứng chỉ ký mã, được mua từ GlobalSign để ký xác thực (khi họ gọi nó). Bây giờ chúng ta cần phải đăng nhập Java applet và sớm mô-đun Adobe AIR (applet?). Câu hỏi đặt ra là: từ quan điểm kỹ thuật, có sự khác biệt nào giữa chứng chỉ-cho-Authenticode và chứng nhận-cho-Java hoặc chứng chỉ-cho-AIR, nếu chúng được phát hành bởi cùng một CA (Comodo hay GlobalSign)? Tôi không thấy điểm mua chứng chỉ khác nếu chúng có thể thay thế được.

Tôi hiểu rằng trường sử dụng khóa chứng chỉ phải giống nhau (ký mã), nhưng có thể sử dụng mã mở rộng hoặc chính sách hoặc tiện ích khác khác trong các chứng chỉ đó. Tôi sẽ đánh giá cao nếu ai đó có chứng chỉ ký mã của hai hoặc nhiều loại được cấp bởi một CA có thể kiểm tra điều này cho tôi.

Answer 1

Dường như mọi chứng chỉ ký mã sẽ hoạt động đối với mọi nền tảng được đề cập. Tôi đã yêu cầu GlobalSign hỗ trợ về sự khác biệt - họ không trả lời, tuy nhiên ngay sau đó họ đã thay đổi trang web của họ và bây giờ bạn sẽ mua một chứng chỉ ký mã cho tất cả các nền tảng.

Answer 2

Từ những gì tôi thu thập được từ RFC 5280, tiện ích mở rộng sử dụng chính chỉ có thể quyết định xem chứng chỉ có thể sử dụng để ký mã hay không. Dường như không có bất kỳ thứ gì trong RFC có thể hạn chế việc bạn ký mã Java hay AIR hay bất kỳ thứ gì. Điều này dường như ngụ ý rằng nếu bạn có thể ký một đoạn mã (hoặc bất kỳ loại dữ liệu không quan trọng nào khác), bạn có thể ký bất kỳ mã nào.

Điều đó nói rằng, có thể có các tiện ích mở rộng CA cụ thể trong chứng chỉ của bạn. Nếu không thấy chứng chỉ thì khó có thể biết được có giới hạn nào không. Từ góc độ kỹ thuật, miễn là khách hàng (tức là trình duyệt nếu chúng ta đang nói về applet) công nhận CA và hài lòng với sự kết hợp của việc sử dụng khóa và loại chứng chỉ (DIGITAL_SIGNATURE và OBJECT_SIGNING) thì bạn nên khỏe.

Answer 3

Có một tuyên bố rõ ràng tại http://www.adobe.com/devnet/air/articles/signing_air_applications.html rằng: "Một nhà phát triển có thể sử dụng bất kỳ đẳng cấp 3, chứng chỉ đảm bảo chất lượng cao được cung cấp bởi bất kỳ CA ký một AIR ứng dụng Adobe"

Thật không may, tôi không thể tìm thấy bất kỳ điều gì tương tự cho Java. Tuy nhiên, bất kể yêu cầu chứng chỉ tối thiểu cho các nền tảng khác nhau, đặt cược tốt nhất của bạn có thể là liên hệ với nhà cung cấp chứng chỉ hiện tại của bạn để hỏi xem có bất kỳ sự khác biệt có ý nghĩa nào giữa các chứng chỉ mà họ cung cấp cho các nền tảng này hay không.

Một số blah-blah trên trang web Verisign gợi ý rằng định dạng trong đó chứng chỉ được gửi đến người mua là sự khác biệt thực sự duy nhất giữa các dịch vụ của họ, nhưng họ không thực sự tuyên bố trực tiếp, vì vậy ai biết được. ..?