Evolución de la firma de código en Windows

Evolución de la firma de código en Windows

La firma de código en Windows ha experimentado cambios significativos a lo largo de los años. En los primeros días, podías firmar tus aplicaciones con cualquier certificado de una autoridad de certificación de confianza, y Windows lo aceptaba. El proceso era relativamente simple, pero tenía limitaciones de seguridad. Cualquiera con un certificado válido podía firmar código, y había poca verificación de la identidad del desarrollador.

Microsoft introdujo requisitos más rigurosos con el tiempo. El primer cambio importante fue la exigencia de que los certificados de firma de código utilizaran tokens de hardware, como llaves USB o tarjetas inteligentes, en lugar de almacenar la clave privada en un archivo. Esto hizo que fuera mucho más difícil para los atacantes robar las claves de firma. El siguiente cambio fue la introducción de los certificados de firma de código de validación extendida (EV), que requerían una verificación más exhaustiva de la identidad del desarrollador.

El cambio más significativo llegó con SmartScreen y el sistema basado en reputación. Incluso con una firma válida, si tu aplicación era nueva y no tenía reputación, Windows SmartScreen mostraba una advertencia a los usuarios. Esto dificultaba que los nuevos desarrolladores distribuyeran sus aplicaciones. El sistema estaba diseñado para proteger a los usuarios de software desconocido, pero también generaba fricciones para los desarrolladores legítimos que recién comenzaban.

Microsoft ha seguido evolucionando el proceso de firma. Los últimos cambios incluyen soporte para sellado de tiempo, que garantiza que las firmas sigan siendo válidas incluso después de que expire el certificado. La introducción del Windows Hardware Developer Center y el Partner Center simplificó el proceso de obtención de certificados. Y más recientemente, Microsoft presentó Azure Trusted Signing, que elimina la necesidad de tokens de hardware por completo al utilizar firma basada en la nube.