Er zijn geen certificaten gestolen, maar private keys. Certificaten bevatten geen geheimen, integendeel: ze zijn bedoeld om te worden verspreid. Code-signing certificaten worden samen met de digitaal ondertekende bestanden (meestal binaries, maar dat hoeft niet) verspreid (meestal samen met 1 of meer intermediate certificaten), net zoals elke https server haar server certificaat (eveneens meestal samen met 1 of meer intermediate certificaten) automatisch naar jouw webbrowser stuurt zodra je zo'n website bezoekt. Code-signing vindt plaats met een private key, horend en passend bij de public key in een certificaat. Als je een kopie van zo'n private key hebt, kun je namens de eigenaar (genoemd in het certificaat) bestanden ondertekenen. Het is dus zaak om private keys zeer goed te beschermen. Het is ook belangrijk om "buildstraten" grondig te beschermen indien code signing daarin automatisch plaatsvindt. Als een aanvaller toegang weet te krijgen tot zo'n "buildstraat", heeft zij geen directe toegang tot de ...