Timestamp (Zaman Damgası) Nedir? Kod İmzalamada Önemi

Timestamp (Zaman Damgası) Nedir?

Timestamp, bir kod imzalama işleminin tam olarak ne zaman yapıldığını kriptografik olarak kanıtlayan bir mekanizmadır. Güvenilir bir üçüncü taraf olan Timestamp Authority (TSA) tarafından sağlanır.

Neden Timestamp Kullanmalısınız?

Timestamp olmadan, sertifikanızın süresi dolduğunda imzalanan tüm dosyalar geçersiz hale gelir. Timestamp ile:

• Sertifika süresi dolsa bile imza geçerli kalır
• İmzalama zamanı kanıtlanabilir şekilde kayıt altına alınır
• Sertifika iptal edilse bile, iptalden önceki imzalar geçerliliğini korur
• Uzun ömürlü yazılımlar için süresiz geçerlilik sağlanır

Timestamp Protokolleri

RFC 3161 (Önerilen)

Modern timestamp standardıdır. SHA-256 hash algoritmasını destekler ve /tr parametresi ile kullanılır:

signtool sign /tr http://timestamp.digicert.com /td sha256 /fd sha256 /a "dosya.exe"

Authenticode (Eski)

Microsoft'un orijinal timestamp protokolüdür. SHA-1 tabanlıdır ve /t parametresi ile kullanılır:

signtool sign /t http://timestamp.digicert.com /fd sha256 /a "dosya.exe"

Popüler TSA Sunucuları

• DigiCert: http://timestamp.digicert.com
• Sectigo: http://timestamp.sectigo.com
• GlobalSign: http://timestamp.globalsign.com/tsa/r6advanced1
• Certum: http://time.certum.pl

En İyi Pratikler

1. Her imzalama işleminde timestamp kullanın
2. RFC 3161 protokolünü tercih edin
3. Timestamp digest olarak SHA-256 belirtin
4. Birden fazla TSA sunucusu yedek olarak yapılandırın
5. TSA sunucusu erişilemez ise imzalama yapmayı durdurun