Podpisywanie używa klucza prywatnego podpisującego; każdy z odpowiadającym kluczem publicznym może go zweryfikować. Podpis wiąże tożsamość z dokładnie podpisanymi bajtami: zmień jeden bit, a weryfikacja zawodzi. W praktyce podpisy uwierzytelniają wydania oprogramowania, dokumenty, e-mail (DKIM), kod, certyfikaty i transakcje.
Najważniejsze punkty
Ochrona klucza podpisującegoPodpis jest tak wiarygodny, jak tajność klucza prywatnego — używaj HSM-ów lub zarządzanych usług podpisywania dla kluczy o wysokiej wartości.
Weryfikacja łańcuchaWalidacja podpisu zależy od certyfikatu podpisującego i łańcucha zaufania za nim; sprawdzaj unieważnienie, wygaśnięcie i kto go wydał, a nie tylko „podpis ważny".
Istotne ograniczenieWażny podpis dowodzi, że klucz podpisał dane — a nie że podpisujący zamierzał to zrobić, że treść jest dobra ani że klucz nie został skradziony przed użyciem. Podpisane złośliwe oprogramowanie nadal jest złośliwym oprogramowaniem.