コードサイニング証明書獲得に用いられる企業ID窃盗すべてのCAが、どのような名称でも証明書を交付できるという現行モデルは、セキュアではあり得ない。有効なAuthenticodeコードサイニング証明書でサインされたファイルについて調査すると、このことを再認識させられる。 このようなものを、われわれは以前目にしたことがある。しかし今回のケースは、連絡先が非常に本物らしい点が奇妙だった。通常、有効だが悪意ある証明書では、詳細は明らかに虚偽であるか疑わしいものだ。 わたしは、この証明書にある名称とアドレスに該当する企業を探し、産業用プロセス制御とオプティマイゼーション関連のサービスを提供する小規模なコンサルティング会社を見つけた。 この会社に連絡をとり、彼らのコードサイニング証明書が盗まれたことに気づいているかどうかを尋ねた。そして彼らがコードサイニング証明書を有していないと回答したため、事態はわたしにとってより興味深いものとなった。実際、彼らは
