代码签名(Microsoft Authenticode)

Question

我有一个程序被很多人使用,他们并不总是精通计算机.我想确保不是让我的可执行文件说它来自一个不知名的作者,而是说它是由我签名的.

据我所知,这可以通过Microsoft Authenticode完成.我知道我需要一个证书才能做到这一点,并且正在以合理的价格寻找一个.我偶然发现了Microsoft Authenticode证书页面.

看起来GlobalSign拥有我需要的一切.他们的证书有什么经验,还是有更好的公司？对于第一次这样做的人有什么好的教程吗？

Answer 1

Comodo是找到最便宜的代码签名证书的一个很好的起点,但是一个从经销商处获得最优惠的价格.

我刚刚从https://author.tucows.com/验证了价格.他们是:

• Comodo代码签名证书 - 1年:75美元
• Comodo代码签名证书 - 2年:140美元
• Comodo代码签名证书 - 3年:195美元

附加条件是

• 最具成本效益的完全验证和完全支持的SSL证书
• 像Verisign和Thawte一样值得信赖,但价格只是其中的一小部分
• 99%的浏览器无处不在
• 行业标准128位
• 验证过程与Verisign一样强大,远远强于GeoTrust
• 30天退款保证
• 30天免费更换和重发政策
• 针对特定站点需求提供不同级别的保修
• 免费SecuritySpace安全审计
• 每个InstantSSL Pro和PremiumSSL证书免费提供TrustLogo(价值119美元)

收到价格的唯一技巧:您必须在author.tucows.com上免费注册.

再说一遍.独立于价格问题,我想添加一个重要信息,以确保您正确理解为什么需要时间戳.如果使用代码签名证书对文件进行签名,则可以使用任何时间戳服务器(如timestamp.verisign.com)进行免费时间戳(请参阅SignTool.exe的/T参数)效用).时间戳的实际优点如下:例如,如果您使用的代码签名证书在2010年底之前是合法的,则文件签名将在2010年底之后保持正常.没有时间戳,您必须辞职带有新证书的文件.时间戳服务器只确认签名日期.因为您的证书在当天没有问题,所以以后您就没有问题了.因此,如果您需要证书只能出售一次软件,您可以在最短的时间内获得证书:一年.您可以在SSL证书颁发机构和数字身份证以及可信时间戳中详细了解时间戳.

关于你的问题的另一个问题:在你有证书后,我建议你只使用SignTool.exe实用程序.它简单,免费且易于使用.您可以在使用SignTool签名文件和程序集签名示例中找到SignTool.exe的使用示例,或者只是启动SignTool.exe sign -?.

Answer 2

我使用Thawte多年,现在我使用Comodo(最便宜的,179.95美元).购买证书时,请不要忘记保存私钥.您需要教程Code Signing for Developers - Authenticode How-To.

Answer 3

我正在使用Certum的证书来完成我的项目.与其他一些公司相比,价格合理,支持速度快,实际上相当不错.

如果您将它用于开源项目,它们将免费提供证书.但是你必须要求它,他们不会在他们的网站上做广告(或者我还没有找到它).

Answer 4

证书明智我们完全切换到StartSSL.com以满足我们所有的SSL 和代码签名需求,因为他们(据我所知)仍然是独特的验证方法和证书允许相当低的价格(2年约50美元,无限制的证书)和更大的灵活性:请参阅我在Pro网站管理员的答案,了解一般的方法和特别是SSL证书的优缺点.

很长一段时间以来,他们确实提供了与Authenticode一起使用的代码签名证书,虽然仍然标记为beta - 我们在几个客户站点上成功地将这些用于ClickOnce部署的应用程序而没有任何问题.虽然看起来肯定是beta品质的一件事仍然是他们的时间戳服务器,它在任何时候都没有响应,但只是用另一个供应商取代它到目前为止完美无瑕.虽然他们的文档SSL明智可行,但代码签名的文档仍然非常弱(接近不存在),因此我们不得不从论坛或其他地方的通用建议中挖掘出大部分信息.

如果证书的定价和灵活性是您的主要担忧,我认为您不会后悔尝试他们的产品; 另一方面,如果完整的文档和已建立的代码签名流程和客户群对您来说更重要,那么这个相对较小且独特的供应商将无法满足您的需求(我个人从未对相应的产品感到满意.但是,更大和/或更昂贵的供应商.

更新:

刚刚意识到Kate Gregory链接的相关问题已经提出了一个推荐StartSSL的答案,所以你可能会在这个帖子中交叉检查提到的主题.

Answer 5

我的组织使用过Verisign和Comodo(我们现在使用前者,因为Windows错误报告服务不接受Comodo证书 - 需要考虑的事项).它没有太多 - 你可以使用属于.NET SDK的SignTool.exe(可能还有其他工具,但这个工具很容易获得,特别是如果你有Visual Studio).

我们有一个运行以下内容的脚本(%_...%变量在脚本中设置,%1是您要签名的文件)

signtool.exe sign /f %_PFXFILE% /p %_PASSWORD% /v /t http://timestamp.verisign.com/scripts/timstamp.dll /d %_DESCRIPTION% /du %_URL% %1