Certificados de firma de código para Java, Adobe AIR, Authenticode, VBS: ¿son diferentes?

Question

Tenemos un certificado de firma de código, comprado a GlobalSign para la firma de Authenticode (como lo llaman). Ahora necesitamos firmar el applet de Java y luego el módulo Adobe AIR (¿applet?). La pregunta es: desde el punto de vista técnico, ¿existe alguna diferencia entre certificate-for-Authenticode y certificate-for-Java o certificate-for-AIR, si son emitidos por la misma CA (por ejemplo, Comodo o GlobalSign)? No veo sentido en comprar certificados diferentes si son reemplazables.

entiendo que el campo de uso de claves de certificados debe ser el mismo (firma de código), pero el uso de código tal vez extendida o política u otra extensión difiere en dichos certificados. Agradecería que alguien que tiene certificados de firma de código de dos o más tipos emitidos por una CA pueda verificar esto por mí.

Answer 1

Parece que cualquier certificado de firma de código funcionará para cualquier plataforma mencionada. Le pedí a GlobalSign que me ayudara con la diferencia: no respondieron; sin embargo, poco después cambiaron su página web y ahora comprarían un certificado de firma de código para todas las plataformas.

Answer 2

Por lo que he deducido de RFC 5280, las extensiones de uso de clave solo pueden decidir si el certificado se puede utilizar para la firma de código o no. No parece haber nada en el RFC que pueda restringir la firma de código Java o AIR o lo que sea. Esto parece implicar que si puede firmar un código (o cualquier otro tipo de datos que no sean claves) puede firmar cualquiera.

Dicho esto, puede haber extensiones específicas de CA en su certificado. Sin ver el certificado, es difícil saber si hay limitaciones.

Desde una perspectiva técnica, siempre que el cliente (es decir, el navegador si estamos hablando de applets) reconozca la CA y esté satisfecho con su combinación de uso de clave y tipo de certificado (DIGITAL_SIGNATURE y OBJECT_SIGNING), entonces debe multa.

Answer 3

Hay una declaración explícita en http://www.adobe.com/devnet/air/articles/signing_air_applications.html que:

"Un desarrollador puede utilizar cualquier clase-3, certificado de alta seguridad logrado por cualquier CA para firmar un poder de corte aplicación de Adobe."

Desafortunadamente, no encuentro nada similar para Java. Sin embargo, independientemente de los requisitos mínimos de certificación para las distintas plataformas, su mejor opción podría ser ponerse en contacto con su proveedor de certificados existente para preguntar si existen diferencias significativas entre los certificados que ofrecen para estas plataformas.

Algunos de los blah-blah del sitio web de Verisign sugieren que el formato en el que se entrega el certificado al comprador es la única diferencia real entre sus ofertas, pero en realidad no lo dicen directamente, quién sabe. ..?