Un signing oracle è un sistema o un'interfaccia che genera una firma digitale per i dati inviati a esso. Nell'uso normale, può trattarsi di un servizio di certificazione, di un'API supportata da HSM o di un flusso di lavoro per la firma del codice. In termini di sicurezza, l'aspetto pericoloso non è solo il fatto che esista la firma, ma che l'oracle firmi input scelti dall'attaccante, a volte con una validazione troppo debole.
Gli signing oracle sono importanti perché una firma valida può far apparire autentici dati non affidabili ai sistemi a valle. Gli attaccanti possono usarli per falsificare certificati, aggirare i controlli di fiducia o trasformare casi limite crittografici in firme utilizzabili senza mai rubare la chiave privata. I difensori riducono questo rischio limitando in modo rigoroso ciò che può essere firmato, applicando formati di input severi, limitando la frequenza delle richieste e rifiutando configurazioni RSA legacy o deboli che sono più facili da abusare tramite il comportamento dell'oracle.