Certificats de signature de code EV (Extended Validation) et Microsoft SmartScreen

  • Article

Aujourd'hui, deux autorités de certification, Symantec et DigiCert, ont annoncé l'introduction des certificats de signature de code EV (Extended Validation, validation étendue). Cette annonce constitue un développement positif pour les utilisateurs et les entreprises, car elle permet aux deux parties de réduire les fraudes et d'accroître la confiance. Nous souhaitons expliquer davantage ce que cela signifie pour la technologie SmartScreen de Microsoft en particulier et pour l'écosystème d'applications Windows 8 en général.

Windows Store et applications Windows 8

L'introduction du Windows Store et des applications Windows 8 représentera une opportunité extraordinaire pour les développeurs de diffuser et de monétiser leurs applications. Les applications Windows 8 doivent réussir le processus d'intégration et de révision des applications dans le Windows Store. Ce processus est conçu pour que les utilisateurs aient confiance dans la sécurité de leur achat tout en rendant l'installation aussi peu contraignante que possible. Les applications Windows 8 ne sont pas comprises dans les contrôles ou avertissements du service SmartScreen de réputation des applications : ces applications sont révisées, leur code est signé, une licence leur est concédée et elles sont distribuées par le Windows Store directement.

Applications de bureau

Les applications de bureau constituent toujours une part importante de l'expérience Windows et Microsoft reste déterminé à assurer la sécurité du Bureau et de ses utilisateurs. Nous savons qu'Internet Explorer (IE) n'est pas le seul moyen de télécharger des applications sur Internet. Aussi, Windows 8 utilise désormais la technologie SmartScreen pour vérifier la réputation de l'application lorsque les utilisateurs lancent pour la première fois une application téléchargée d'Internet.

Cet élargissement de la technologie SmartScreen à tout le système (et non plus à IE seulement) constitue une amélioration importante pour les utilisateurs de Windows. Nous avons observé des résultats incroyables avec cette fonctionnalité dans IE9 (plus d'informations ici et ici). Des centaines de millions d'utilisateurs ont ainsi pu éviter les infections par des programmes malveillants et nous sommes heureux de proposer cette protection aux utilisateurs de Windows, quel que soit le navigateur qu'ils choisissent. Pour plus d'informations sur le service de réputation des applications IE9 et sur les modèles de données, lisez ce billet. Pour en savoir plus sur les fonctionnalités de sécurité dans Windows 8 (y compris sur Windows SmartScreen), lisez ce billet.

L'intégration plus approfondie du service SmartScreen de réputation des applications encourage également les développeurs d'applications de bureau à signer leur code et à établir leur réputation. Nous avons déjà parlé de l'importance du code signé numériquement, à la fois pour établir la réputation et pour prouver l'authenticité des programmes. Je suis heureux de dire que la communauté des développeurs a pris des mesures en ce sens. Depuis la sortie du service SmartScreen de réputation des applications dans IE9, nous avons vu une augmentation globale de 10 % des téléchargements signés, de 73 % dans IE9 RTM à plus de 83 % aujourd'hui.

Comme nous l'avons indiqué dans le passé, SmartScreen établit la réputation des programmes et du certificat utilisé pour signer ce code. La signature de code est importante dans notre système de réputation, car cette identité de niveau supérieur nous permet d'établir la réputation de plusieurs programmes signés par un éditeur. Elle est également importante pour les éditeurs, car les programmes signés héritent de la réputation du certificat avec lequel ils sont signés. En d'autres termes, chaque programme qu'un éditeur distribue n'a pas besoin d'établir sa réputation individuellement.

Signature de code EV

Nous annonçons aujourd'hui notre contribution à une avancée importante dans la signature de code : la disponibilité des certificats de signature de code EV. Nous annonçons par ailleurs que les certificats de signature de code EV seront intégrés à la technologie SmartScreen de réputation des applications dans Internet Explorer 9, Internet Explorer 10 et Windows 8.

Microsoft a collaboré avec les autorités de certification tout au long de l'année pour contribuer à rendre les certificats de signature de code EV disponibles. Cette norme de signature de code présente des avancées significatives du point de vue de la sécurité et de l'identité. D'abord, elle nécessite un processus d'authentification et de contrôle plus rigoureux, semblable à celui des certificats SSL EV en vigueur de nos jours. Ce processus requiert une procédure de vérification d'identité et d'authentification complète pour chaque développeur. Ensuite, les certificats de signature de code EV exigent l'utilisation d'un matériel pour signer les applications. Cette exigence matérielle constitue une protection supplémentaire contre le vol ou l'utilisation non souhaitée d'un certificat de signature de code.

Les programmes signés par un certificat de signature de code EV peuvent immédiatement établir leur réputation avec les services de réputation SmartScreen, même si aucune réputation précédente n'existe pour ce fichier ou pour cet éditeur. D'autres facteurs sont pris en compte pour générer une réputation et définir les expériences des produits, et les programmes signés EV seront étroitement surveillés dans le temps. Nous pensons que les améliorations apportées au contrôle et à la sécurité de ces certificats sont un formidable développement tant pour les utilisateurs que pour les développeurs.

À compter d'aujourd'hui, les certificats de signature de code EV sont émis par Symantec et DigiCert et l'intégration au service SmartScreen est déjà en cours (IE9, IE10 et Win8).

Les détracteurs peuvent soutenir que le service SmartScreen « oblige » les développeurs à dépenser de l'argent dans les certificats. Il convient de souligner que les certificats de signature de code EV ne sont pas obligatoires pour établir ou maintenir une réputation avec SmartScreen. Les fichiers signés avec des certificats de signature de code standard et même les fichiers non signés continuent à établir leur réputation comme ils le font depuis l'introduction du service de réputation des applications dans IE9 l'année dernière. Toutefois, la présence d'un certificat de signature de code EV est un indicateur sérieux qui prouve que le fichier a été signé par une entité qui a réussi un processus de validation rigoureux en s'appuyant sur du matériel, ce qui permet à nos systèmes d'établir la réputation de cette entité plus rapidement que les programmes non signés ou signés avec du code autre que EV.

Meilleures pratiques

Il est toujours conseillé aux développeurs de suivre les meilleures pratiques que nous avons suggérées dans les derniers billets de blog. Outre ces conseils, nous avons ajouté des options supplémentaires de diffusion des applications via le Windows Store et l'option de signature de code EV :

  • Diffusez vos applications via le Windows Store
    Les applications Windows 8 doivent réussir le processus d'intégration et de révision des applications dans le Windows Store. Les applications Windows 8 ne sont pas comprises dans les contrôles ou avertissements du service SmartScreen de réputation des applications dans Windows 8.

  • Signez numériquement vos programmes (signature de code standard ou EV)
    La réputation est générée et attribuée aux certificats numériques, ainsi qu'à des fichiers spécifiques. Les certificats numériques permettent aux données d'être regroupées et attribuées à un seul certificat, au lieu de plusieurs programmes individuels. Même si cela n'est pas obligatoire, les programmes signés par un certificat de signature de code EV peuvent immédiatement établir leur réputation avec les services de réputation SmartScreen, même si aucune réputation précédente n'existe pour ce fichier ou pour cet éditeur. Les certificats de signature de code EV disposent également d'identificateurs uniques qui permettent de maintenir plus facilement la réputation lors des renouvellements de certificats. Seuls les certificats Authenticode émis par une autorité de certification membre du programme de certificat racine Microsoft peuvent établir une réputation.

    Symantec et DigiCert proposent actuellement des certificats de signature de code EV.

  • Ne signez pas ou ne diffusez pas du code malveillant
    La diffusion d'un code détecté comme étant malveillant supprimera la réputation d'un fichier, ainsi que toute réputation du certificat numérique associé, même s'il est signé par un certificat de signature de code EV.

  • Demandez un logo Windows ou une certification des applications de bureau Windows 8
    Vous découvrirez plus d'informations sur ces programmes ici :

Nous sommes heureux de la disponibilité des certificats de signature de code EV annoncée aujourd'hui et nous sommes également ravis de pouvoir proposer le service SmartScreen de réputation des applications à de nouveaux utilisateurs de Windows prochainement avec Windows 8.

—Jeb Haber, chef de projet, SmartScreen