信頼できるURLからダウンロードした.exeだと思っていても、実際はフィッシングURLかもしれません。
ダウンロードが終わったファイルが信頼できるのか確認する方法を調べた。
コードサイニング証明書とは
Windowsではコードサイニング証明書がある。安くても年間で数万円程度の料金がかかる証明書。身分証明書の提出などが求められる。つまり審査がある。
サービス提供者はコードサイニング証明書を使って、.exeファイルに署名する。
コードサイニング証明書を使ったチェック
Windowsでは.exeを実行するときに.exeファイルの署名が確認されて、あらかじめOSに登録されている、信頼できる証明書と照らし合わせてチェックする。
チェック不合格になると証明書が Windows に登録された信頼できるルート認証局によって発行されていない。または署名がなされてなかったり改ざんで破損しているなどの可能性が考えられます。
調べてみると、しっかりとした仕組みがあることがわかり安心しました。