インストーラーに表示される「発行者」とは？デジタル署名の仕組みと取得方法を解説

現代のOSでソフトウェアをインストールするのは非常に簡単になり、寝ながらでもできるほどです。そのため、多くの人はインストール作業を流れるように進め、画面に表示される細かい要素を見過ごしがちです。

インストーラーを実行するかどうかを尋ねるウィンドウも、見落とされがちな要素の一つです。一見すると、特に目新しい情報はないように思えますが、実はそうとは限りません。このウィンドウには、もう一度よく見る価値のあるたった一行のテキストがあります。それが「署名（発行者名）」です。

インストーラーは法的文書のように紙に署名されるわけではありませんが、独自の形でデジタル署名されているものがあります。以前から不思議に思っていた方も、今まであまり気にしていなかった方も、ここでその仕組みを詳しく解説します。

なぜ発行者名が表示されるのか？

Microsoftによれば、ソフトウェアインストーラーに署名を行うことで、改ざんされたプログラムを見分けやすくなるとされています。署名されていれば、そのソフトウェアの出所が明確になり、問題が発生した場合には開発元に責任を問うことも可能になります。

また、安心感も大きな理由の一つです。多くのユーザーは、有名な企業や開発元が提供するソフトウェアの方が安心してインストールできます。例えば、ウェブブラウザのMozilla FirefoxはMozilla Corporationによって署名されており、これが自然で信頼性を感じさせます。「不明（Unknown）」という表示では得られない正当性があるのです。

どのように署名されるのか？

Microsoftが提供するインストーラー署名ツール「SignTool.exe」は、.exeや.msiなど、さまざまな種類のファイルに対応しています。これら2つのインストーラー形式の違いがわからない場合は、関連記事を参考にしてみてください。

SignTool.exeは単体でも動作しますが、Microsoftの公式サイトでは、Visual Studioのコマンドプロンプトと既存の署名証明書を使った方法が紹介されています。証明書は別のVisual Studioコマンドで生成できるものではなく、追加の手順が必要になります。

Visual Basicを使用していない場合でも、MicrosoftのSignTool.exeと併せてコード署名証明書が必要です。Microsoftが管理するリストに掲載されている企業から、標準または拡張検証（EV）形式の証明書を入手でき、Microsoft Dev Centreアカウントと組み合わせて使用できます。一部の操作にはEV証明書が必要ですが、ほとんどの操作は標準証明書で行えます。

標準証明書は審査の処理時間が短く、その分取得コストも抑えられるのが特徴です。ただし、本人確認のレベルはEV証明書ほど高くなく、Microsoftの説明によるとLSAやUEFIのコード署名には対応していません。

証明書の種類を決めたら、発行企業側は写真付き身分証明書や氏名が記載された書類など、申請者の情報を求めてきます。証明書は無償で配布されるものではなく、法人からの申請の場合、銀行口座の明細書など通常は公開されていない書類の提出が必要になることもあります。

証明書を受け取った開発者は、インストーラーへの署名を開始でき、製品により高い正当性を持たせることができるようになります。

まとめ

ご覧のとおり、ウィンドウ上のたった一行のテキストを得るためには、想像以上に多くの手順が必要です。とはいえ、コード署名なしで配布されているプログラムも数多く存在し、それらが必ずしもPCに危険をもたらすわけではありません。証明書がないからといって、すぐに問題があると疑う必要はないでしょう。

ただし、ソフトウェア警告画面に表示される発行者名の意味を知っておくことは決して損ではありません。自分のPCに何をインストールしようとしているのか、より意識的に判断することが大切です。何かおかしいと感じたら、いつも以上に慎重に行動することを心がけましょう。