| 四、利用数字证书进行代码签名
当你在店铺里购买软件时，软件的来源很清楚，你可以分辨软件的提供商；同时，凭借软件的封装，你可以看到软件有没有被拆封过。籍此，人们可以决定对软件的信任程度。但是，当软件放到了Internet上，你在下载时，还能有足够的信心吗？在计算机病毒横行的今天，也许，你正在下载的杀毒软件恰是一个病毒程序，这样的事情一点也不奇怪，那么，我们在网上怎么信任那些exe文件呢？
任何软件提供商要想通过网络来发布代码或程序，都会面临着软件被仿冒和篡改的风险。通过数字证书使用代码签名技术就可以有效地防范这些风险。代码签名证书是CA中心签发给软件提供商的数字证书，包含软件提供商的身份信息、公钥及签名。软件提供商使用代码签名证书对软件进行签名后放到Internet上，当用户在Internet上下载该软件时，将会得到提示，从而可以确信软件的来源和软件自签名后到下载前没有遭到修改或破坏。
对于用户来说，使用代码签名证书可以清楚了解软件的来源和可靠性，增强了用户使用Internet获取软件的决心。万一用户下载的是有害软件，也可以根据证书追踪到软件的来源。对于软件提供商来说，使用代码签名证书，其软件产品更难以被仿造和篡改，增强了软件提供商与用户间的信任度和软件商的信誉。
如果你编写一个ActiveX 控件并放在网页中，别人通过Internet下载时通常会出现一个安全警告，提示代码没有签名。在你的Certificate
Server安装目录下找到xenroll.cab，并查看其属性，你会发现多了一栏数字签名，这里你可以查看签名验证情况以及相关证书。要给自己的程序签名其实也很简单，Microsoft有一个Authenticode工具专名用来给代码签名，你可以从Microsoft站点下载到，里面有许多工具，但通常你只要用到signcode.exe就够了。首先你需要有一个代码签名证书，然后使用signcode.exe使用过程很方便，基本是wizard方式的，在提示选择使用的签名证书时按“从存储器选择”按钮选择签名证书。你可以选择将所以证书放入签名，也可以不将根证书放入签名，建议不要将根证书放入签名，还是应让用户从你的站点下载根证书，因为带根证书的签名是没有意义的，虽然这会给用户带来一些麻烦(他需要先安装根证书才能正确验证你的签名)。在提示加入时间戳时选择不加入时间戳。完成签名后你可以从文件属性验证其签名和证书。
时间戳的作用在于证明某一段数据在该时间的存在性。比如你有一个重大发现，希望用它来争取诺贝尔奖，你用Word编写你的论文，但是为了证明你是第一个发现者，你需要证明你写论文的时间，由于文件的时间可任意修改，不能作为证明，所以你需要有一个时间戳，你通过某个Hash算法计算出你的Word文件的摘要并发送给一个权威的时间戳签名服务商(DTS)，DTS对摘要和签发时间进行签名形成时间戳发还给你，你将文件时间戳合并，作为将来证明你撰写论文时间的依据。时间戳服务需要很高的权威性，所以对私钥存储，时间来源都有很高的要求。目前这方面应用不多，好象Office
2000似乎支持时间戳功能。
无论是SSL也好，安全电子邮件也好，代码签名也好都是Netscape最先提出和使用的，在Netscape中使用这些技术，方法都很相似(Microsoft学的还真象)，所以这里不再多说了。IE5.0以后，Microsoft的这些技术和产品已经比较成熟，在功能上部分超越了Netscape，但Netscape毕竟是原创，在这方面的文档资料比较全面，讨论组和邮件列表也比较多，所以在技术支持方面会比较好一点。目前，代码签名证书可以对32-bit
.exe、.cab、.ocx、.class等程序和文件进行签名。
数字证书在网络安全中的使用还有很多，比如软件的版权签名、通过专门的数字签名软件给文档盖“公章”、进行网络站点的安全访问等，掌握这些知识将对我们今后的学习和工作产生很大的影响。毫无疑问，这将逐渐成为一种网络安全趋势，没有这些身份认证，我们在网络上将寸步难行，读者朋友可以在今后的学习和使用中多多体会。 |
