Подписание кода (Microsoft Authenticode)

У меня есть программа, которая используется большим количеством людей, которые не всегда суперкомпьютеры. Я хочу убедиться, что вместо того, чтобы мой исполняемый файл сказал, что это от неизвестного автора, он говорит, что он был подписан мной.

Насколько я знаю, это можно сделать с помощью Microsoft Authenticode. Я понимаю, что мне нужен сертификат для этого, и я искал его по разумной цене. Я наткнулся на страницу Сертификаты Authenticode Microsoft.

Похоже, GlobalSign имеет все, что мне нужно. Каков опыт работы с сертификатами от них или есть лучшая компания? Есть ли хорошие учебники для тех, кто делает это в первый раз?

Ответ 1

Я использовал Thawte в течение многих лет, и теперь я использую Comodo (самый дешевый, 179,95 долларов США). Когда вы покупаете сертификат, не забудьте сохранить закрытый ключ. Вам нужно tutorial Подписание кода для разработчиков - How-To.

Ответ 2

Comodo является хорошей отправной точкой для поиска самого дешевого сертификата подписи кода, но один получает лучшее цена у реселлера.

Я только что подтвердил цены от https://author.tucows.com/. Это:

Сертификат подписи кода Comodo - 1 год: US $75
Сертификат подписи кода Comodo - 2 года: US $140
Сертификат подписи кода Comodo - 3 года: US $195

Дополнительные условия:

Наиболее эффективные с точки зрения затрат и полностью поддерживаемые сертификаты SSL
Как полагается Verisign и Thawte, но небольшая часть цены
99% обозревателя браузера
Промышленный стандарт 128 бит
Процессы валидации такие же сильные, как Verisign, и намного сильнее GeoTrust
гарантия возврата денег на 30 дней
30-дневная бесплатная замена и переиздание политики.
Различные уровни гарантии для конкретных потребностей сайта.
Аудит безопасности SecuritySpace
Бесплатный TrustLogo (стоимостью 119 долларов США) с каждым сертификатом InstantSSL Pro и PremiumSSL

Единственный трюк для получения цены: вы должны зарегистрироваться бесплатно на author.tucows.com.

Еще одно замечание. Независимо от ценового вопроса я хочу добавить одну важную информацию, чтобы быть уверенным, что вы правильно поняли, зачем вам тимпинг времени. Если вы подписываете файл, используя сертификат подписи кода, который вы можете использовать для бесплатного штамповки времени с любого сервера штамповки времени, такого как timestamp.verisign.com(см. Параметр /t SignTool.exe). Практическое преимущество штамповки времени следующее: если вы используете сертификат подписи кода, который является законным до конца 2010 года, например, подпись файла будет оставаться в курсе после конца 2010 года. Без штамповки времени вы должны уйти в отставку файл с новым сертификатом. Сервер отметки времени просто подтверждает дату подписания. Поскольку ваш сертификат был в порядке на дату, у вас не будет проблем позже. Поэтому, если вам нужен сертификат только для продажи программного обеспечения, вы можете получить сертификат на минимальный период: один год. Вы можете больше узнать о тиснении времени в службе сертификатов SSL и цифровых идентификаторах и Надежная временная привязка.

Относительно другого подзапроса вашего вопроса: после того, как у вас будет сертификат, я рекомендую вам использовать утилиту SignTool.exe. Это просто, БЕСПЛАТНО и легко использовать. Вы можете найти примеры использования SignTool.exe в Использование SignTool для подписи Файл и Пример подписки на сборку или просто запустите SignTool.exe sign -?.

Ответ 3

Я использую сертификат для Certum для моих проектов. Цены разумные, их поддержка быстро и на самом деле неплохая, по сравнению с некоторыми другими компаниями.

И они предоставляют сертификаты бесплатно, если вы используете его для проекта с открытым исходным кодом. Но вы должны просить об этом, они не рекламируют это на своем веб-сайте (или я просто не нашел его).

Ответ 4

Сертификат, мы полностью перешли на StartSSL.com для всех наших требований к подписке на SSL и код, потому что их (в лучшем случае мои знания) по-прежнему уникальный подход к проверке и сертификатам позволяет значительно снизить цены (~ 50 долларов США за 2 года, неограниченные сертификаты) и значительно увеличить гибкость: см. мой ответ на Pro Webmasters для некоторых плюсов и минусов относительно их подхода в целом и сертификатов SSL в частности.

В течение довольно долгого времени они также предлагают сертификаты подписи кода для использования с Authenticode, хотя они все еще обозначены как бета - мы успешно используем эти приложения для развертываемых приложений ClickOnce на нескольких сайтах клиентов без каких-либо проблем. Единственное, что определенно похоже на бета-качество, тем не менее, это сервер штамповки времени, хотя он не реагирует на все времена, а просто заменяет его с одним из других поставщиков работал безупречный до сих пор. Хотя их документация SSL-мудрая в порядке, то для подписания кода, безусловно, очень слабая (близкая к не существующей), поэтому нам пришлось выкапывать большую часть информации с форумов или общих советов в другом месте.

Если оценка и гибкость с сертификатами являются вашими основными проблемами, я думаю, вы не пожалеете, что попробуете их предложения; если, с другой стороны, для вас важнее тщательная документация и установленный процесс и клиентская база для подписи кода, этот сравнительно небольшой и отличный поставщик не восполнит ваши потребности (я лично никогда не был доволен соответствующими предложениями более крупные и/или более дорогие поставщики, хотя).

Update:

Просто понял, что связанный с Kate Gregory вопрос уже содержит ответ , рекомендующий StartSSL, поэтому вы можете перекрестно проверить указанные темы в этом потоке.

Ответ 5

Моя организация использовала Verisign и Comodo (мы используем первую, так как служба отчетов об ошибках Windows не принимает сертификат Comodo - что-то для рассмотрения). Там не слишком много - вы можете использовать SignTool.exe, который является частью .NET SDK (могут быть и другие инструменты, но это легко доступно, особенно если у вас есть Visual Studio).

У нас есть script, который запускает следующее (переменные% _...% задаются в script,% 1 - файл, который вы подписываете)

signtool.exe sign /f %_PFXFILE% /p %_PASSWORD% /v /t http://timestamp.verisign.com/scripts/timstamp.dll /d %_DESCRIPTION% /du %_URL% %1