2023年EV Code Signing：虚拟化服务器程序集签名方案及技术疑问

1. Windows桌面应用的签名推荐方式 #

对于对外交付的Windows桌面应用，推荐签名所有最终会被用户加载的二进制文件，包括但不限于.exe、.dll、.sys、.msi等。原因如下：

• Windows SmartScreen防护机制会检查所有执行/加载的组件，未签名的依赖库可能触发安全警告，削弱EV证书带来的信任优势；
• 完整签名可确保整个应用链的完整性，避免攻击者篡改未签名的组件植入恶意代码；
• 若仅签名主.exe，用户在启动应用时可能仍会遇到“无法验证发布者”的提示，影响体验。

如果是仅在内部环境使用、不对外分发的组件，可以酌情省略签名，但对外交付的部分必须全覆盖。

2. 虚拟化构建服务器上的EV代码签名实现方案 #

针对虚拟化环境下的大规模CI场景，netHSM（网络硬件安全模块）是完全可行的合规方案：

• 符合CA/B论坛的EV密钥存储要求：EV代码签名密钥必须存放在FIPS 140-2/3 Level 2及以上的硬件安全模块中，netHSM满足这一标准；
• 适配多构建服务器场景：netHSM通过网络提供签名服务，20台构建服务器可通过授权的客户端调用统一的HSM进行签名，无需在每台服务器部署USB Key；
• 替代方案对比：USB Key共享器虽然能共享物理密钥，但并发能力有限，且存在单点故障风险，netHSM的扩展性和稳定性更适合每日数千次签名的大规模场景。

实现时需要确保CI流水线的签名工具（如signtool.exe）配置为通过HSM驱动调用密钥，同时做好网络访问控制（IP白名单、身份认证），避免未授权访问。

3. netHSM的使用经验与速度对比 #

使用经验 #

• 访问控制：必须严格限制HSM的访问范围，仅允许CI服务器的IP段访问，同时为不同流水线配置最小权限的签名账号，避免密钥泄露风险；
• 客户端配置：多数主流HSM厂商会提供适配Windows的驱动和签名工具插件，只需在构建服务器上安装驱动并配置签名参数（如signtool sign /f <HSM密钥容器名> /tr <时间戳服务器> ...）；
• 冗余与备份：建议部署主备netHSM集群，避免单点故障导致CI流水线中断，同时定期备份HSM的密钥备份文件（需加密存储）。

速度对比 #

netHSM的签名速度略慢于本地PFX文件，但完全能满足每日数千次签名的需求：

• 普通PFX本地签名速度可达每秒数百次甚至上千次；
• 中端netHSM的签名速度通常在每秒50-200次左右，高端带硬件加速的型号可达到每秒300次以上；
• 对于分布式CI场景，netHSM的并发处理能力远高于USB Key，不会出现单密钥被抢占导致的排队延迟。

内容的提问来源于stack exchange，提问作者Nico