使用signtool签署代码时如何包含整个证书路径？

Question

如何在使用代码签名时包含整个证书路径signtool？

较旧版本的signtool将在数字签名中包含整个证书路径.现在如果我签署一个可执行文件signtool:

signtool.exe" sign /v /f avatar.pfx -t "http://timestamp.verisign.com/scripts/timstamp.dll" app.exe

签名无效:

这是因为没有认证路径:

使用旧版本的signtool签名的二进制文件工作正常:

如何在签名时告诉signcode包含整个认证路径？

签署二进制文件的正确方法是什么？

---

更新:SignTool版本6.1.7600.16385:

也可以看看

• 如何使用代码签名证书对ActiveX控件进行签名并成为经过验证的发布者？
• 使用证书链签署WinForms ClickOnce应用程序
• ClickOnce:证书无法验证

Answer 1

使用/ac并传递.cer证书所在的文件名(对于Verisign,上次我签署内核代码或其他特殊代码时,我将其称为MSCV-VSClass3.cer).

signtool.exe sign /v /f "Avatar.pfx" 
      /ac "Thawte Code Signing CA - G2.cer" 
      -t "http://timestamp.verisign.com/scripts/timstamp.dll" app.exe

这应该由您的CA提供.通常,MS为其在Windows中接受的各种CA提供捆绑包.

请参阅:http://support.microsoft.com/kb/931125/en-us和http://www.microsoft.com/whdc/winlogo/drvsign/crosscert.mspx

无论哪种方式,据我所知,这只是内核代码和非常具体的其他事情(例如Windows安全中心)所必需的.