Signing del codice: modifica degli attributi del certificato durante il rinnovo?

In alternativa puoi timestamp il codice in modo che rimanga valido anche dopo la scadenza del certificato di firma del codice. Ci sono ulteriori dettagli a riguardo in StackOverflow qui e qui .

Un certificato è una chiave pubblica firmata con alcuni metadati aggiuntivi (come il periodo di validità), firmati da un'autorità attendibile (Certification Authority) che si presume essere già attendibile e la cui firma può quindi essere convalidata.

La tua domanda è più una questione di politica. Non vedo perché una chiave pubblica utilizzata per firmare il codice e il cui certificato è scaduto non può essere emesso un nuovo certificato dalla CA, questa volta con un nuovo periodo di validità e forse un nuovo soggetto ma lo stesso chiave pubblica sottostante. Come la chiave pubblica sottostante la cui chiave privata di corrispondenza è stata utilizzata per firmare il codice rimane la stessa, non sarà necessario rifare le firme sul codice stesso. La chiave pubblica di firma del codice non dipende dai metadati contenuti nel suo certificato (piuttosto, la firma sul certificato, eseguita dalla CA, dipende da tutti i metadati).

Detto questo, potrebbe essere in atto una politica di sicurezza / IT che richiede la generazione di una nuova coppia di chiavi per ogni certificato, nel qual caso il codice stesso dovrà essere rassegnato come parte dell'emissione di un nuovo certificato. Ma ancora, da un punto di vista tecnico / crittografico questo non è veramente obbligatorio.