Azure Trusted Signing

Azure Trusted Signing

Azure Trusted Signing è la soluzione moderna di Microsoft per la firma del codice. È un servizio basato su cloud che elimina molti dei tradizionali punti dolenti della firma del codice. Invece di gestire token hardware, rinnovare manualmente i certificati e preoccuparti della sicurezza delle chiavi, puoi integrare la firma direttamente nella tua pipeline CI/CD e lasciare che Azure si occupi del resto.

L'approccio tradizionale alla firma del codice richiedeva l'acquisto di un certificato da un'autorità di certificazione, la memorizzazione della chiave privata su un token hardware e l'uso di quel token ogni volta che dovevi firmare un'applicazione. Questo processo era macchinoso, specialmente per pipeline di build automatizzate. I token hardware potevano guastarsi, perdersi o dovevano essere inseriti fisicamente in una macchina per ogni operazione di firma.

Azure Trusted Signing risolve questi problemi mantenendo le chiavi di firma nell'infrastruttura cloud sicura di Microsoft. Non hai mai accesso diretto alla chiave privata. Invece, ti autentichi su Azure usando la tua identità, e Azure esegue l'operazione di firma per tuo conto. Questo significa niente token hardware, niente gestione delle chiavi e niente passaggi manuali. La firma avviene automaticamente come parte del tuo processo di build.

Configurare Azure Trusted Signing è semplice. Crei una risorsa di firma nella tua sottoscrizione Azure, configuri le politiche di firma e poi usi Azure Signing Tool o le capacità di firma integrate nella tua pipeline CI/CD. Azure Trusted Signing supporta la firma Authenticode per eseguibili e DLL, oltre alla firma di pacchetti MSIX e AppX. Sta rapidamente diventando il modo standard per firmare applicazioni Windows, specialmente per team che usano pratiche DevOps moderne.