Microsoft SmartScreen e os Certificados de Autenticação de Código de Validação Estendida

  • Article

Hoje, duas autoridades de certificação (CAs), a Symantec e a DigiCert, anunciaram a introdução dos certificados de autenticação de código de validação estendida. O comunicado é um avanço positivo para usuários e empresas porque ajuda ambos os lados a reduzir fraudes e aumentar a confiança. Queremos fornecer mais alguns detalhes sobre o que isso significa para o ecossistema de aplicativos do Microsoft SmartScreen e do Windows 8 em geral.

A Windows Store e os aplicativos do Windows 8

A introdução da Windows Store e dos aplicativos do Windows 8 será uma oportunidade significativa para os desenvolvedores distribuírem e monetizarem seus aplicativos. Os aplicativos do Windows 8 precisam passar pelo processo integrado de desenvolvedor e de análise de aplicativos da Windows Store. Esse processo foi projetado para que os usuários tenham segurança em sua compra, facilitando o processo de instalação o máximo possível. Os aplicativos do Windows 8 não estão no escopo das verificações ou avisos de reputação de aplicativos do SmartScreen – esses aplicativos são analisados, autenticados, licenciados e distribuídos diretamente pela Windows Store.

Aplicativos de desktop

Os aplicativos de desktop continuam sendo parte importante da experiência com o Windows e a Microsoft continua comprometida com a segurança da experiência na área de trabalho e com nossos usuários. Reconhecemos que o Internet Explorer (IE) não é a única forma de os usuários baixarem aplicativos da Internet, por isso o Windows 8 passou a usar o SmartScreen para realizar uma verificação de reputação de aplicativos na primeira vez que os usuários executarem aplicativos baixados da Internet.

Essa evolução do SmartScreen do download somente do IE para todo o sistema é uma melhoria significativa para os usuários do Windows. Temos visto resultados incríveis com esse recurso no IE9 (mais aqui e aqui). Centenas de milhares de usuários evitaram infecções de malware devido a essas novas experiências e estamos felizes em levar essa proteção aos usuários do Windows, independente da opção do navegador. Para obter mais detalhes sobre a verificação de reputação de aplicativos e os modelos de dados do IE9, leia essa postagem. Para obter mais detalhes sobre recursos de segurança e proteção no Windows 8 (incluindo o Windows SmartScreen), leia essa postagem.

A maior integração da verificação de reputação de aplicativos do SmartScreen também significa que os desenvolvedores de aplicativos de desktop têm uma motivação adicional para autenticar seu código e estabelecer sua reputação. Já falamos sobre a importância de fazer a autenticação digital de códigos tanto para estabelecer a reputação quanto para fornecer autenticidade aos programas. Estou feliz em dizer que a comunidade de desenvolvedores respondeu a esse plano de ação. Desde o lançamento da verificação de reputação de aplicativos do SmartScreen no IE9, vimos um aumento global de 10% nos downloads autenticados, de 73% no RTM do IE9 para mais de 83% hoje.

Como discutimos anteriormente, o SmartScreen consolida a reputação de programas individuais e do certificado usado para autenticar esse código. A autenticação de códigos é importante para a inteligência de nossa reputação porque essa identidade de alto nível nos permite consolidar uma reputação através de vários programas autenticados por um editor. Isso também é importante para os editores porque os programas autenticados herdam a reputação do certificado com o qual são autenticados, o que significa que todo programa distribuído por um editor não precisa consolidar sua reputação individualmente.

Autenticação de código de validação estendida

Hoje, estamos anunciando nosso suporte a um avanço importante na autenticação de código - a disponibilização dos certificados de autenticação de código de validação estendida. Também estamos anunciando que os certificados de autenticação de código de validação estendida integrarão a tecnologia de verificação de reputação de aplicativos do SmartScreen no Internet Explorer 9, no Internet Explorer 10 e no Windows 8.

A Microsoft tem trabalhado com o setor de CA ao longo do último ano para ajudar a disponibilizar os certificados de autenticação de código de validação estendida. Esse padrão de autenticação de código tem alguns avanços importantes em termos de segurança e identidade. Em primeiro lugar, eles exigem um processo de verificação e autenticação mais rigoroso, similar ao dos certificados de SSL de verificação estendida usados atualmente. Esse processo requer um processo de verificação e autenticação de identidade abrangente para cada desenvolvedor. Em segundo lugar, os certificados de autenticação de código de validação estendida exigem o uso de hardware para autenticar aplicativos. Esse requisito de hardware é uma proteção adicional contra roubo ou uso indesejado de um certificado de autenticação de código.

Os programas autenticados pelo certificado de autenticação de código de validação estendida poderão estabelecer de imediato a reputação com os serviços de reputação do SmartScreen, mesmo se não houver qualquer reputação anterior para esse arquivo ou editor. Outros fatores são levados em conta ao gerar reputação e determinar experiências de produto. Os programas autenticados por validação estendida serão monitorados de perto ao longo do tempo. Achamos que as melhorias na verificação e segurança desses certificados são um grande avanço tanto para usuários quanto para desenvolvedores.

A partir de hoje, os certificados de autenticação de código de validação estendida estão sendo emitidos pela Symantec e DigiCert e a integração com o SmartScreen já está em vigor (IE9, IE10 e Win8).

Os detratores poderão reclamar que o SmartScreen está "forçando" os desenvolvedores a gastarem mais com certificados. É preciso enfatizar que os certificados de autenticação de código de validação estendida não são obrigatórios para desenvolver ou manter a reputação com o SmartScreen. Os arquivos autenticados pelos certificados de autenticação de código padrão e até mesmo os arquivos não autenticados continuam criando sua reputação como sempre fizeram desde que a reputação de aplicativos foi introduzida no IE9 ano passado. No entanto, a presença de um certificado de autenticação de código de validação estendida é um forte indicador de que o arquivo foi autenticado por uma entidade que passou por um processo de validação rigoroso e foi autenticado com hardware, o que permite que nossos sistemas estabeleçam a reputação para essa entidade mais rapidamente do que programas não autenticados ou sem autenticação de código de validação estendida.

Práticas recomendadas

Os desenvolvedores devem continuar seguindo as práticas recomendadas que sugerimos nas últimas postagens do blog. Acrescentamos a essa diretriz mais opções de distribuição de aplicativos através da Windows Store e a opção de autenticação de código de validação estendida:

  • Distribua seus aplicativos através da Windows Store
    Os aplicativos do Windows 8 precisam passar pelo processo integrado de desenvolvedor e de análise de aplicativos da Windows Store. Os aplicativos do Windows 8 não estão no escopo das verificações ou avisos de reputação de aplicativos do SmartScreen no Windows 8.

  • Autentique digitalmente seus programas (autenticação padrão ou de código de validação estendida)
    A reputação é gerada e atribuída a certificados digitais e arquivos específicos. Os certificados digitais permitem que os dados sejam agregados e atribuídos a um único certificado em vez de a diversos programas individuais. Embora não sejam obrigatórios, os programas autenticados pelo certificado de autenticação de código de validação estendida poderão estabelecer de imediato a reputação com os serviços de reputação do SmartScreen, mesmo se não houver qualquer reputação anterior para esse arquivo ou editor. Os certificados de autenticação de código de validação estendida também têm um identificador exclusivo que facilita a manutenção da reputação nas renovações de certificado. Somente os certificados Authenticode emitidos por uma CA que seja membro do Programa de Certificado Raiz do Windows podem estabelecer uma reputação.

    Neste momento, a Symantec e a DigiCert estão oferecendo certificados de autenticação de código de validação estendida.

  • Não autentique ou distribua código mal-intencionado
    A distribuição de código detectado como mal-intencionado removerá a reputação do arquivo e também qualquer reputação do certificado digital associado - mesmo se autenticado por um certificado de autenticação de código de validação estendida.

  • Solicite um logotipo do Windows ou uma certificação de aplicativos de desktop do Windows 8
    Saiba mais sobre esses programas aqui:

Estamos felizes com o comunicado de hoje sobre a disponibilização dos certificados de autenticação de código de validação estendida, bem como por poder levar, em breve, a verificação de reputação de aplicativos do SmartScreen para um novo conjunto de usuários do Windows com o Windows 8.

—Jeb Haber, gerente de programas geral, SmartScreen