当公共 CA“代码签名”证书被吊销时会发生什么？

Question

具体来说：

将证书添加到公共 CA CRL 后，Windows 将如何处理使用该证书签名的可执行文件？

Answer 1

发生的情况主要取决于您是否使用时间戳服务。如果您是，则签名的可执行文件将保持受信任；如果不这样做，则该可执行文件将不再受信任。

\n\n

来自 Thwate 的代码签名证书常见问题解答：

\n\n

\n
• 代码签名证书可以使用多长时间？
\n

\n\n

代码签名证书的有效期为 1 到 3 年，具体取决于您购买证书时选择的生命周期。您还应该为签名代码添加时间戳，以避免您的代码在证书过期时过期。

\n\n

\n
• 代码签名证书过期后带时间戳的代码是否有效？
\n

\n\n

Thawte 时间戳服务允许您为签名代码添加时间戳。时间戳可确保证书过期时代码不会过期，因为系统会验证时间戳。如果您在签署代码时使用时间戳服务，则代码的哈希值将发送到时间戳服务器以记录代码的时间戳。user\xe2\x80\x99s 软件可以区分使用不应信任的过期证书签名的代码和使用在代码签名时有效但随后已过期的证书签名的代码。

\n\n

请指定您在签署代码时所需的时间戳服务器 URL。Thawte 为您提供 SHA-1 和 SHA-256 RFC 3161 时间戳 URL。

\n\n

时间戳服务器验证文件签名的日期和时间，因此证书可能会过期，但只要文件处于生产状态，签名就会有效。仅当您想要签署附加代码或重新签署已修改的代码时，才需要新证书。

\n\n

如果您在签名期间不使用时间戳选项，则必须重新签署代码并将其重新发送给客户。

\n