I firmatari attendibili sono un controllo di sicurezza di NuGet che consente il ripristino dei pacchetti solo da identità di firma approvate. Invece di fidarsi di qualsiasi pacchetto che dichiari di essere firmato, la policy di build verifica il certificato del firmatario o l'identità dell'autore rispetto a una allowlist curata.
Questo è importante perché le firme dei pacchetti aiutano a confermare l'origine e riducono la probabilità che una dipendenza typosquatted o manomessa venga accettata durante il restore. Negli attacchi, gli avversari possono pubblicare pacchetti simili a quelli reali che copiano il nome e il comportamento di una libreria diffusa, sperando che gli sviluppatori li installino senza accorgersene. I firmatari attendibili rendono tutto ciò più difficile rifiutando i pacchetti firmati da certificati sconosciuti o non approvati, anche quando il nome del pacchetto sembra legittimo. In difesa, i team combinano i firmatari attendibili con ID esatti dei pacchetti, blocco della versione e applicazione dell'uso di pacchetti firmati per ridurre il rischio della supply chain. È particolarmente utile negli ambienti .NET in cui le dipendenze vengono ripristinate automaticamente e un singolo pacchetto non attendibile può entrare in molte build.