代码签名证书不再有软证书，但可以“云签名”

所谓代码签名证书的“软证书”，是指无需借助另外的硬件，可以直接存储在电脑里面为软件进行数字签名的证书文件，这种文件通常格式是 pfx，可以像一张图片一样被无限复制。这种形式的代码签名证书在使用上非常方便，但同时带来了一定的安全风险，即无法严格的控制代码签名证书的使用和授权，有可能造成代码签名证书的泄露或者被未授权滥用。

因此，自2023年开始，代码签名证书行业都不再支持这种难于控制使用范围的“软证书”形式。根据 CA/B 论坛的标准要求，为了加强代码签名证书的私钥安全保护，从 2023 年 06 月 01 日 开始，OV代码签名证书须与 EV代码签名证书的私钥保护机制保持一致，即私钥必须存储在 FIPS 140 2 级以上、Common Criteria EAL 4 级以上或同等认证级别的硬件上。换句话说，“软证书”形式成为历史，新签发的证书必须存在专业的硬件设备中。行业俗称“硬证书”。

“硬证书”有很多好处，比如代码签名证书的使用得到更好的管理，签名者必须在拿到存储有证书的硬件，并插入到电脑，且输入正确的密码之后才可以进行签名。这从根本上避免了之前那种“软证书”在管理者不知情的情况下被偷偷的用于非授权的签名。更大大的减少了证书泄露的风险。

但是，更安全的“硬证书”却牺牲了很多的用户体验，硬证书需要管理者时刻保存好相关的硬件，并且在签名的时候一定要插上这个硬件，在使用上更加的繁琐，且这种硬件如优盘大小，容易被忽视在某个角落或者丢失（这种丢失一般不会影响证书的安全，因为还需要输入正确的密码才能签名）。

同时，硬证书不利于团队协作。有时候一个单位内只有一张代码签名证书，但可能多个部门甚至多个分公司都需要使用，因此尝尝“供不应求”。或者正在出差，但突然需要给某个版本的软件加数字签名，但“硬证书”却忘在公司了，这样就会耽误项目进度。

“软证书”因为不安全不再使用，“硬证书”因为形式的局限而使用不方便，为此，作为代码签名证书服务机构，环度网信提供了如下多种方案：

1，一份证书配置多套存储硬件，这适用于公司有多人或者多部门使用证书的需求，但本质上还是得按照硬证书的形式来使用，只不过相当于一把锁配置了多把药匙。

2，配置“云签名”方案：将您的证书存储在符合要求的云端环境中，通过您的电脑客户端软件来连接云端的证书，从而实现远程签名。且每次连接云端证书，都需要手机端的授权码，更大程度上保护了证书的使用安全。

相关解决方案和产品见：

https://www.ihuandu.com/codesigning.html