La firma dei pacchetti è un processo crittografico che associa una firma digitale a pacchetti software, come app mobili, aggiornamenti o installatori. La firma consente a un dispositivo o a uno store di app di verificare che il pacchetto provenga dall'editore previsto e non sia stato modificato dopo essere stato firmato. Se la firma non corrisponde, il pacchetto può essere bloccato o segnalato come non sicuro.
È importante perché gli attaccanti spesso cercano di manomettere il software durante il transito, sostituire aggiornamenti malevoli o ripacchettare app legittime con payload nascosti. Una firma robusta aiuta i difensori a rilevare queste modifiche e offre a utenti e piattaforme un modo per fidarsi di ciò che installano. Nei sistemi di distribuzione a più livelli, come uno store di app distribuito attraverso un altro, la firma dei pacchetti aiuta a separare la fiducia nell'editore dalla fiducia nel marketplace: la vetrina può selezionare il pacchetto, ma la firma dimostra chi lo ha creato e se il suo contenuto è rimasto intatto.