文章总结： 奇安信与清华合作论文被NDSS2027录用，首次大规模测量Windows代码签名证书合规性。研究开发CSLint工具含192条规则，从超4000万软件中提取21.5万张证书构建最大数据集，发现6.28%叶子证书和18.97%根证书触发错误，揭示身份欺骗、非授权使用及撤销失效等安全风险，建议加强证书合规审计。
综合评分： 88
文章分类： 供应链安全,漏洞分析,安全工具
【喜报】1篇研究成果被国际顶级会议NDSS 2027录用
星图实验室
星图实验室
奇安信技术研究院
2026年9月23日 16:17
北京
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
Windows 代码签名证书合规性及安全风险分析
本篇论文是由奇安信技术研究院和清华大学合作完成的关于代码签名证书合规性及安全风险分析的工作。论文题目为《Standards-to-Surface: A Comprehensive Evaluation of Windows Code-Signing (Non)Compliance》，这项工作由清华大学和奇安信联合培养的卓越工程师计划博士研究生赵汉卿主导完成，导师为段海新教授(清华大学)和应凌云博士(奇安信星图实验室)。其他作者分别为张一铭(清华大学)、游子权(清华大学)、刘保君(清华大学)、张书豪(奇安信星图实验室)、金虎权(奇安信星图实验室)。这篇论文也是我们继《Understanding the Status and Strategies of the Code Signing Abuse Ecosystem》(NDSS 2026)之后的第二项代码签名 PKI 研究工作。 【论文分享】被滥用的信任：Windows 代码签名滥用测量研究
近年来，软件供应链安全事件频发，为了保护软件真实性与完整性，代码签名机制应运而生。代码签名主要依赖公钥基础设施 PKI 技术，旨在确保软件来自真实来源且软件内容未被篡改。IETF 和 CA/B Forum 等标准化组织对代码签名证书颁发制定了一系列标准规范，CA 通过遵循这些标准规范来确保代码签名 PKI 生态系统的安全稳定运行。然而，当前代码签名生态封闭而不透明，且缺乏专门的合规性检查工具，导致实际的证书颁发实践难以被独立审计。
为此，本工作首次对公共 CA 生态系统中的代码签名证书合规性进行了大规模测量分析。我们开发了CSLint，一款专用于代码签名证书的合规性检查工具，包含 192 条 lint 规则。我们从 40,462,203 个真实软件中提取了 215,592 张证书，构建了迄今为止最大的代码签名证书数据集，涵盖了来自 158 个国家/地区的 145 个不同 CA 颁发的证书。我们的测量结果表明，代码签名证书误颁发现象普遍且严重，6.28% 的叶子证书和 18.97% 的根证书触发了“错误”。我们还构建了 AuthentiCheck，用于分析这些不合规证书对 9 种终端验证实现的真实影响，揭示了身份欺骗、非授权证书使用以及撤销检查失效等安全风险。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：奇安信技术研究院 星图实验室
星图实验室《【喜报】1篇研究成果被国际顶级会议NDSS 2027录用》