code-signing - 代码签名究竟如何帮助软件发行商？

Question

感谢 Jeff Wilcox's blog 的帮助，我刚刚完成了我的应用程序的第一次代码签名。 ，在他的逐步指导下，我能够在不到 36 小时内完成整个事情。但现在我开始怀疑我为什么要花钱，因为我看不出它如何帮助软件发行商:

有黑客试图通过逆向工程和修改代码来破坏程序中的保护机制。但是签署文件并不能阻止这种情况的发生，他们仍然可以随意修改文件的内容。

有时，某些防病毒程序可能会错误地认为我的 .exe 文件包含病毒。签署文件也无济于事。

代码签名只能告诉用户这个文件来自我，但他们仍然不知道我是好人还是坏人。所以它对用户也没有帮助。

我的结论是，代码签名并非旨在帮助软件发行商或用户。它只会尝试跟踪文件的来源，如果它包含病毒，人们就会知道是谁植入的，仅此而已! (仅当黑客无法将病毒携带到已签名的 .exe 文件中时，这才是正确的。)

我的问题是:我的理解是否正确？还是我错过了什么？谢谢你。

Answer 1

签名确认代码的真实性，即这是您发布的代码，并且在此过程中没有被篡改。这与愚蠢的代码保护无关，它是保护用户免受冒名顶替软件的侵害——图像中的单个字节修改会使签名无效。信任是完全不同的事情(AV 扫描程序可能比普通未签名的更信任签名的可执行文件，但这是与 AV 供应商讨论的事情)。