Сертификат подписи кода для проектов с открытым исходным кодом?

Я хочу опубликовать одно из своих приложений как с открытым исходным кодом и хочу, чтобы цифровая подпись двоичных файлов, которые я создал, с моим собственным сертификатом. (Конечно, кто-то еще может просто загрузить код и построить его самостоятельно с помощью собственного сертификата.) Я хочу сделать это, чтобы каждый мог проверить, что эта сборка была сделана мной, а не кем-то другим. Я также хочу создать безопасный веб-сайт с действующим сертификатом SSL, чтобы посетители могли безопасно создавать свои собственные учетные записи, чтобы они могли вносить свой вклад в этот проект.

Я мог бы создать самозаверяющий сертификат, но мне это не очень нравится. Или я могу заплатить Verisign за несколько золотых монет, чтобы получить сертификаты, которые будут действительны всего несколько лет. Мне тоже не нравится этот вариант, поскольку моя казна ценна для меня.

Итак, есть ли другие варианты? Например, поставщик, который поддерживает проекты с открытым исходным кодом, предлагая сертификаты по сниженной цене? Он не должен быть бесплатным, намного дешевле, чем Verisign...

(Проект создан на С# с Visual Studio 2008. Кроме того, дополнительный проект в ASP.NET, который требует SSL.)

Ответ 1

Вы можете попробовать CAcert. С этим вы получаете сертификацию других пользователей CAcert. CAcert имеет систему на основе репутации, поэтому, если вы достаточно сертифицированы, ваш сертификат считается действительным.

Возможно, вам придется добавить CAcert в качестве доверенного органа в целевой системе. Самоподписание вашего исполняемого файла должно быть достаточным вариантом, но вам нужно будет предоставить публичный сертификат. Использование известного авторитета может помочь проверить файл, но я думаю, что он убит, в этом случае используйте контрольную сумму или хэш файл sha2 в сочетании с вашим самоподписанным сертификатом. Вы можете настроить Linux-сервер как CA, но им нужно будет доверять вашему публичному сертификату.

Ответ 2

Для разработчиков с открытым исходным кодом Certum предоставляет сертификаты подписи кода ~~бесплатно~~ *

Просто введите "разработчик с открытым исходным кодом" в поле "Компания", когда вы запросить сертификат. Что это.

Ссылка на сертификаты подписи с открытым исходным кодом здесь

[*] Начиная с 2016 года сертификат подписи с открытым исходным кодом больше не доступен бесплатно. Теперь это платная услуга.

Ответ 3

Обновление: больше не бесплатное, теперь € 105,78 (по состоянию на 19 февраля 2017 года). Стоимость меньше, если вы уже владеете своим криптовым оборудованием. FWIW, следующие предыдущие инструкции.

Получите бесплатный сертификат подписи кода от Certum/Unizeto для себя как человека, выполните следующие действия. Используйте Internet Explorer или Safari, так как они поддерживают механизм обмена ключами.

Найдите Идентификатор теста и сертификаты подписи кода OpenSource и отправьте форму.
Сертификат появится под Активировать сертификаты. Нажмите Активировать.
Пройдите мастер активации. Для организации введите Open Source Developer. Для организационной единицы введите Издание программного обеспечения.
Вы получите электронное письмо с просьбой подтвердить личность. Ответьте на ссылку на проект с открытым исходным кодом и изображение вашей водительской лицензии (или другого принятого документа). Чтобы защитить вашу конфиденциальность, вы должны зашифровать ответ. ^* Способ шифрования зависит от клиента электронной почты. Для Outlook убедитесь, что у вас есть сертификат электронной почты (свободно доступен) и включить шифрование.
В течение дня или около того вы должны получить электронное письмо со ссылкой для получения сертификата. Вы должны открыть ссылку с того же компьютера и браузера, который использовался для запуска процесса.

_{* Несмотря на то, что письмо с подтверждением от Certum говорит, чтобы отправить подтверждение на [email protected], Certum также принимает подтверждение, отправленное на адрес-ответ [email protected], на который вы можете отправить зашифрованное письмо.}

Ответ 4

Обновление 2016: StartCom был приобретен WoSign в сомнительных обстоятельствах. Я бы не стал доверять StartCom/WoSign. Рассмотрим приведенный ниже текст в качестве исторической заметки о том, насколько хорошо StartCom был до начала 2015 года.

У меня есть сертификат подписи кода из StartCom (StartSSL). Я очень доволен их обслуживанием: их обслуживание клиентов очень быстрое, и их цены очень разумны.

Получение сертификата подписи кода

Получение сертификата подписи кода требует Проверка удостоверения класса 2. StartCom направляет вас через весь процесс (с отличными ответами, обычно в течение десяти минут в моем опыте).
Если вы хотите получить данные прямо сразу, прочитайте этот пост в блоге. Я был проверен в течение часа (за 59.90 $, через Paypal).

После проверки, сгенерируйте новый закрытый ключ и запрос подписи сертификата (CSR). Обратите внимание, что все поля, кроме открытого ключа, игнорируются. Вся информация в сертификате выводится из информации, которую вы предоставляете при проверке удостоверения личности, а не из вашей CSR.

# Create key and CSR (key must be at least 2048 bit, per Policy Statement)
openssl req -nodes -newkey rsa:2048 -keyout codesigning.key -out codesigning.csr
# Add pass phrase to key (optional, but highly recommended)
openssl rsa -in codesigning.key -des3 -out codesigning2.key && \
    mv codesigning2.key codesigning.key

Отправьте это через веб-интерфейс, и вы быстро получите новый сертификат, действительный в течение двух лет (я получил мой в течение часа).

Проблема: OID оповещения о времени жизни

В сертификатах StartCom класса 2 установлен OID для определения срока службы. Из-за этого бита подпись подписанного кода станет недействительной после истечения срока действия сертификата, даже если он был отмечен timestamped.

Когда я спросил Эдди Нигга (COO/CTO StartCom) по причине этого OID, он ответил:

Это требует от нас, чтобы CRL работали в течение 20 лет после истечения срока действия сертификатов. Это то, что мы можем сделать для сертификатов уровня EV (намного меньший объем, разные условия оплаты), но повысит цену для класса 2 только для этой выгоды (где подписание кода является лишь частью опций на этом уровне).

Timestamping, таким образом, доступен только после расширенной проверки (EV), которая доступна только юридически установленным организациям и стоит 199,90 $. Таким образом, отдельные разработчики не могут использовать timestamping с сертификатом подписи кода из StartCom.

Долгое время я считал это ограничение большой проблемой. В последнее время я передумал: это происходит только раз в два года, пользователи, ориентированные на безопасность, могут быть более склонны получать последнюю версию своего программного обеспечения, а старые версии программного обеспечения будут работать (для тех, кто хочет его использовать; хотя без подтвержденной подписи).

Примечание. Всегда отметьте свой код, даже если установлен флаг подписи Lifetime! Подтвержденные подписи будут оставаться действительными до истечения срока действия сертификата, даже если сертификат был отозван (очевидно, только если подпись была создана до отзыва сертификата).

Практическое использование сертификата

В StartCom вы платите только за подтверждение. Проверка подлинности действительна в течение 350 дней, и в течение этого периода вы можете бесплатно запросить сертификаты подписи кода. У вас может быть только один действительный сертификат подписи кода, и он может использоваться для подписи любого кода (MSI, DLL, XPI,...), но не кода драйвера (для этого требуется EV).

Чтобы изменить атрибут сертификата, предыдущий сертификат должен быть отозван новым запрошенным. Отзыв сертификата составляет 29,90 $. Хотя, когда я менял свой адрес электронной почты через день после получения сертификата подписи кода, они исключительно отозвали мой сертификат без оплаты (я был удивлен)!

Действительно

Когда ваш сертификат истечет (через почти два года), вы получите уведомление (за две недели вперед). Если ваш подтвержденный личный документ все еще действителен (помните, что срок действия истекает через 350 дней, а затем вы должны подтвердить свою личность еще раз за 59,90 $), вы можете запросить новый сертификат без отмены предыдущего. Не забудьте опубликовать новую версию вашего программного обеспечения, подписанную с этим новым сертификатом подписи кода, потому что предыдущие выпуски скоро покажут "(не проверено)" или что-то подобное.

OCSP

Когда я получил свой сертификат, я подписал надстройку Firefox. Тем не менее, он все еще показал "(автор не проверен" ), хотя мой файл XPI был правильно подписан. Оказалось, что Firefox не получил текущий статус сертификата, когда он запросил серверы OCSP для StartCom для статуса отзыва моего нового сертификата. ^{возможно соответствующая тема форума}

Примерно через пол дня мой сертификат был известен серверам OCSP, и мое имя появилось, как ожидалось. Извлеченный урок: когда у вас есть новый сертификат, подождите около дня, прежде чем публиковать свое программное обеспечение с новой подписью.

Ответ 5

Вы можете посмотреть StartSSL продукт.

Ответ 6

Вы также можете проверить KSoftware. Они перепродают Comodo сертификаты подписи кода за 99 долларов США в год.

Ответ 7

Вам нужно будет купить сертификат подписи кода. Самые дешевые из Comodo. Я опубликовал исходный код и двоичные файлы, как вы планируете, и подписал двоичные файлы. См. Датчик времени и даты для фотографий и других файлов.