Microsoft-Anwendungen, wie z.B. Internet Explorer, Windows Installationsroutinen etc. verfügen über Sicherheitsfunktionen zur Überprüfung, ob eine digitale Signatur für eine auszuführende Anwendung vorhanden ist und geben eine Empfehlung für das weitere Vorgehen des Benutzers aus.
Code Signierung mit X.509 Zertifikaten ist für Unternehmen sinnvoll, die selbst Softwareprodukte anbieten und nicht wollen, dass bei den Kunden Warnungen angezeigt werden bzw. um das Vertrauen in das Softwareprodukt zu erhöhen. Der Kunde kann sicher sein dass die Software unmanipuliert und unverfälscht zur Ausführung gebracht wird.
Für nicht signierte Anwendungen bzw. von einer unbekannten CA eingesetzte Zertifikate wird dabei je nach Sicherheitseinstellungen ein roter Warnhinweis angezeigt oder die Inhalte können schlicht nicht ausgeführt werden.
Ist die Anwendung signiert und dem Zertifikat wird vertraut – so wird lediglich eine Informationsmeldung angezeigt.
Anm.: Wenn der Herausgeber vom Anwender zusätzlich explizit zu den „Vertrauenswürdigen Herausgebern“ im Zertifikatmanagement hinzugefügt wird (manuell oder mit „Immer Software von Herausgeber ausführen“ s. Grafik) so kommt zukünftig auch keine Informationsmeldung mehr, wenn Anwendungen dieses Herausgebers geöffnet werden.
Für das Signieren von Code muss ein Zertifikat mit der EKU „Code Signing“ vorhanden sein. Um Windows Code bspw. .exe Dateien zu signieren, kann das Programm Signtool.exe, das im Windows SDK enthalten ist, verwendet werden. Für eine sichere Code Signing Infrastruktur empfiehlt sich die Verwendung von HSMs oder zumindest Token/Smartphones.
Code Signing gibt es auch für Java Plattformen wie J2SE und J2ME.
