Assinatura de código
Assinar arquivos executáveis com uma chave privada para que o sistema operacional verifique origem e integridade antes de rodar. Authenticode no Windows, notarização da Apple, assinatura de APK no Android, assinatura de RPM no Linux.
Certificado EV Code Signing: caro (~400 USD/ano), exige token de hardware (não pode ser exportado), dá reputação instantânea no Windows SmartScreen. Certificado OV (comum): constrói reputação com o tempo. Na Apple, a notarização é automática via Xcode + altool, e o Gatekeeper bloqueia apps não notarizados. O Sigstore Cosign faz assinatura keyless com OIDC + certificado do Fulcio + log no Rekor → nenhuma chave privada para proteger. Ataque clássico: uma chave de assinatura roubada usada para assinar malware (o Stuxnet usou certificados roubados da Realtek e da JMicron).