Notepad++: fine del supporto per il code signing

Gli sviluppatori del progetto open source Notepad++, uno dei più noti code editor per Windows, hanno annunciato che a partire dalla build 7.6.4 verrà rimosso il supporto al code signing.

Il code signing è sostanzialmente il processo di firma digitale degli eseguibili e degli script. La firma viene usata per identificare l'autore di un programma e dunque garantire che il codice non sia stato alterato o danneggiato. Tale processo usa un hash crittografico in modo da convalidare l'integrità e l'autenticità del sorgente.

I certificati, utilizzati per eseguire la firma, vengono solitamente distribuiti dalle cosiddette autorità di certificazione. Qualche anno fa DigiCert, una certificate authority, decise di donare al progetto un certificato della durata di tre anni.

Al termine di tale periodo Don Ho, il principale sviluppatore di Notepad++, avrebbe voluto rinnovare il certificato, cosa che però si sarebbe rivelata impossibile. Il developer si è quindi "sfogato" con la community raccontando la vicenda che lo ha coinvolto nelle note di rilascio della release 7.6.4:

Ho provato varie volte ad acquistare un altro certificato ad un prezzo ragionevole. Ma non c'è stato verso, questo perché Notepad++ non è un'azienda o una fondazione. Ho perso ore ed ore del mio tempo, sottraendole allo sviluppo del progetto, alla ricerca di una soluzione al problema senza venirne a capo. Notepad++ è sopravvissuto 10 anni senza il code signing, dunque non vedo il motivo per continuare a supportare tale feature.

Stando così le cose, Notepad++ non disporrà più di tale funzionalità. Ovviamente gli utenti avranno comunque il modo di verificare l'autenticità dell'installer scaricato. Infatti le cifrature: SHA-256, SHA-1 e MD5 digests saranno ancora disponibili per tutti i pacchetti presenti sul sito ufficiale del progetto.

Inoltre Notepad++ andrà a verificare automaticamente tutti gli hash SHA256 dei vari componenti per assicurarsi che non siano stati alterati.