Code Signing-Quiz: Sind Sie IT-Spezialist?

7. Februar 2019

von Patrycja Schrenk

Was ist die primäre Funktion eines Code Signing-Zertifikats?

Ein Code Signing-Zertifikat schützt vor Malware in Anwendungen.

Ein Code Signing-Zertifikat beweist Empfängern die Identität von E-Mail-Absendern.

Ein Code Signing-Zertifikat versieht ausführbare Dateien mit einer unverwechselbaren digitalen Signatur, die die Identität des Herstellers bestätigt und beweist, dass der Code nach Veröffentlichung nicht manipuliert wurde.

Ein Code Signing-Zertifikat ist Voraussetzung, um Apps in Apples App Store iTunes zu verkaufen.

Correct! Wrong!

Die digitale Signatur an ausführbaren Dateien beweist, dass der Code nicht manipuliert wurde.

Welche Aufgabe hat der Timestamp?

Der Zeitstempel stellt auch nach Ablauf des digitalen Zertifikats sicher, dass der signierte Code gültig ist.

Der Zeitstempel zeigt, wann der Code entwickelt wurde.

Mithilfe des Timestamps wird die erste Nutzung der ausführbaren Datei angezeigt.

Der Timestamp signalisiert, wann das Code Signing-Zertifikat abläuft.

Correct! Wrong!

Der Timestamp stellt sicher, dass der Code nicht abläuft, selbst wenn das Code Signing-Zertifikat abläuft.

Laufen Code Signing-Zertifikate ab?

Nein, solange der Code nicht verändert wird, behält das Zertifikat seine Gültigkeit.

Ja, um Zertifikatinhaber und Nutzer zu schützen. Man kann das Zertifikat durch einen Identitätsnachweis verlängern.

Nein, einmal erworben, behalten Code Signing-Zertifikate immer ihre Gültigkeit.

Ja und eine Verlängerung eines Zertifikats ist nicht möglich. Derselbe Code muss dann mit einem neuen Zertifikat geschützt werden.

Correct! Wrong!

Ihr Zertifikat ist abgelaufen? Dann können Sie es durch einen Identitätsnachweis verlängern.

Wo sieht man, ob ein Timestamp vorhanden ist?

Indem die Zertifizierungsstelle kontaktiert und hier nachgefragt wird.

Man erfragt den Timestamp beim Entwickler.

Nirgends, hier muss der Nutzer dem Entwickler vertrauen.

In den Details des Code Signing-Zertifikats bei den Signaturgeberinformationen.

Correct! Wrong!

Die Signaturgeberinformationen in den Details des Code Signing-Zertifikats zeigen den Timestamp.

Kann mit Code Signing auch eine PDF-Datei signiert werden?

Nein, mit einem Code Signing-Zertifikat lassen sich keine PDF-Dateien signieren.

Nein, es sei denn, das Code Signing-Zertifikat wurde für Microsoft Office bestellt.

Ja, mit Code Signing-Zertifikaten können alle PDF-Dateien signiert werden.

Ja, mit Code Signing-Zertifikaten können einige PDF-Dateien signiert werden.

Correct! Wrong!

Zwar lassen sich mit Code Signing-Zertifikaten keine PDF-Dateien signieren, jedoch sind sie fürs Signieren von Code unabdingbar.

Können Code Signing-Zertifikate ausgetauscht werden?

Ja, und das ist auch sinnvoll, wenn der Code verändert wurde.

Nein, das ist niemals möglich.

Ja, allerdings ist davon abzuraten: Ein Austausch ist nicht nur kompliziert, denn ohne Zeitstempel werden alle signierten Daten mit einer ungültigen Signatur markiert.

Nein, jedoch soll eine einfache Möglichkeit dafür demnächst geschaffen werden.

Correct! Wrong!

Es ist nicht sinnvoll, ein Code Signing-Zertifikat auszutauschen, die Folgen sind zu vielfältig.

Sind Code Signing-Zertifikate verlängerbar?

Nein, einmal abgelaufen, bleibt das Zertifikat ungültig.

Nein, man kann jedoch Zertifikate mit 20-jähriger Laufzeit wählen.

Ja, allerdings muss zum Identitätsnachweis persönlich bei der CA vorgesprochen werden.

Ja, eine Verlängerung funktioniert wie eine Neubestellung.

Correct! Wrong!

Das Verlängern eines Code Signing-Zertifikats funktioniert bei uns wie eine Neubestellung.

Müssen Code Signing-Zertifikate speziell für eine Plattform bestellt werden?

Ja, für jede Plattform existieren spezielle Code Signing-Zertifikate.

Nein, die Zertifikate sind i. a. R. für verschiedene Plattformen anwendbar, wenn sie als "Multiplattform" ausgewiesen sind.

Ja, verschiedene Hersteller erfordern unterschiedliche Zertifikate.

Nein, sämtliche Zertifikate sind grundsätzlich für sämtliche Plattformen anwendbar.

Correct! Wrong!

Code Signing-Zertifikate sind für verschiedene Plattformen nutzbar, beispielsweise Microsoft Authenticode, Java und Adobe Air.

Wird eine Validierung vorgenommen?

Ja. Dafür wird der Organisationsname durch entsprechende Registerauszüge nachgewiesen.

Nein, eine Validierung ist für Code Signing-Zertifikate unnötig.

Ja. Da hier strengste Sicherheitsmechanismen greifen, muss persönlich bei der Zertifizierungsstelle vorgesprochen werden.

Nein – noch nicht. Denn um mehr Sicherheit zu gewährleisten, sollen künftig Validierungen vorgenommen werden.

Correct! Wrong!

Mithilfe von Registerauszügen wird der Organisationsname nachgewiesen.

Was kann mit Code Signing signiert werden?

PDFs und weitere Dokumente.

Macros, Applets, Plug-ins und sonstige ausführbare Dateien.

E-Mails.

Alle genannten Dinge.

Correct! Wrong!

Durch Code Signing-Zertifikate werden ausführbare Dateien wie Code, Applets oder Macros signiert.

Welchen Nutzen haben Code Signing-Zertifikate?

Durch den Timestamp der Code Signing-Zertifikate erkennen Nutzer, wann der Code erstellt wurde.

Code Signing-Zertifikate machen den Versand von E-Mails erheblich sicherer.

Code Signing-Zertifikate sind nur aus Entwickler-Sicht relevant, Anwender haben eigentlich keinen Nutzen.

Zunehmend verlangen Softwareanbieter und Mobilfunkbetreiber das Signieren von Code von einer vertrauenswürdigen CA. Ruf und Integrität werden geschützt, die sichere und zuverlässige Nutzung gewährleistet. All' das schaffen Code Signing-Zertifikate.

Correct! Wrong!

Um Ruf, Identität und Nutzer zu schützen, sind Code Signing-Zertifikate für Entwickler und Nutzer sinnvoll.

Können nur Unternehmen ihren Code signieren?

Ja, Privatpersonen haben keine Möglichkeit, Code zu signieren.

Ja, und das auch nur ab einer bestimmten Unternehmensgröße.

Nein, es gibt auch Lösungen für Privatanwender und Gewerbetreibende.

Nein, Privatanwender signieren ihren Code mit selbst erstellten Code Signing-Zertifikaten.

Correct! Wrong!

Für Privatpersonen und Gewerbetreibende gibt es beispielsweise Thawte Code-Signing for Individuals. Sprechen Sie uns bei Interesse an!

Kann ein Code Signing-Zertifikat auf mehreren Rechnern gleichzeitig verwendet werden?

Ja, das Zertifikat kann auf verschiedenen Rechnern genutzt werden, jedoch nicht gleichzeitig.

Nein, jedes Zertifikat kann nur auf einem Rechner verwendet werden.

Ja, man kann jedes Code Signing-Zertifikat auf allen erdenklichen Rechnern gleichzeitig verwenden.

Nein, es gibt eine Beschränkung auf zwei Rechner je Zertifikat.

Correct! Wrong!

Es muss lediglich ein Token mit dem Zertifikat an dem Rechner angeschlossen werden, auf dem das Zertifikat verwendet werden soll.

Ist signierter Code immer vertrauenswürdig?

Nein, es ist darauf zu achten, wer den Code signiert hat.

Nein, das Signieren des Codes allein genügt nicht, um vertrauenswürdig zu sein.

Ja, denn durch die Signatur wird der Code zertifiziert und seine Sicherheit garantiert.

Ja, denn stoßen User auf einen signierten Code, erfahren sie die verifizierte Identität des Entwicklers durch eine Pop-up-Meldung. So kann der User selbst entscheiden, ob er dem Code vertrauen möchte.

Correct! Wrong!

Vertrauen ist gut, Sicherheit ist besser: Durch signierten Code wird die Identität des Entwicklers deutlich und User können prüfen, ob sie dem Code vertrauen wollen.

Sehen Benutzer, wenn Applikationen signiert wurden?

Nein, Benutzer können die Signatur einer Applikation nicht einsehen.

Ja, der Nutzer kann sich die Signatur anzeigen lassen.

Der Benutzer kann lediglich in Kauf-Versionen sehen, ob die Applikation signiert wurde.

Ja, allerdings ist dieser Vorgang so kompliziert, dass er für Laien nicht empfehlenswert ist.

Correct! Wrong!

Benutzer können sich die Signatur anzeigen lassen. Wie das funktioniert, ist abhängig vom Betriebssystem.