Podpisywanie kodu
Podpisanie pliku wykonywalnego kluczem prywatnym, by system mógł przed uruchomieniem zweryfikować pochodzenie i integralność. Authenticode w Windows, notaryzacja Apple'a, podpisy APK w Androidzie, podpisy RPM w Linuksie.
Certyfikat EV Code Signing: drogi (ok. 400 USD rocznie), wymaga tokenu sprzętowego (klucza nie da się wyeksportować), daje Windows SmartScreen natychmiastową reputację. Certyfikat OV (zwykły): reputację buduje się z czasem. Apple: notaryzacja automatycznie przez Xcode i altool, Gatekeeper blokuje aplikacje bez notaryzacji. Sigstore Cosign: podpisywanie bez kluczy, z OIDC, certyfikatem Fulcio i logiem Rekor → nie ma klucza prywatnego do ochrony. Klasyczny atak: skradziony klucz podpisujący służy do podpisania malware'u (Stuxnet miał skradzione certyfikaty Realteka i JMicrona).