Signature de code
Signer un exécutable avec une clé privée pour que le système puisse vérifier son origine et son intégrité avant de le lancer. Authenticode sous Windows, notarisation chez Apple, signature d'APK sous Android, signature RPM sous Linux.
Certificat EV (Extended Validation) : coûteux (environ 400 USD par an), exige un jeton matériel (la clé n'est pas exportable) et donne d'emblée une réputation auprès de Windows SmartScreen. Certificat OV (standard) : la réputation se construit avec le temps. Chez Apple, la notarisation est automatisée via Xcode et altool, et Gatekeeper bloque les applications non notarisées.
Sigstore Cosign propose une signature sans clé, fondée sur OIDC, un certificat Fulcio et un journal Rekor : aucune clé privée à protéger. L'attaque classique reste la clé de signature volée, réutilisée pour signer des logiciels malveillants — Stuxnet s'appuyait sur des certificats dérobés à Realtek et JMicron.