Dateisignatur wird unter Windows XP nicht als gültig anerkant

[Dawn87]

Hallo,

also ich habe es auf einem frischinstallierten als auch auf einem in Benutzung befindlichen Windows XP ausprobiert. Bei beiden wird die Signatur nicht anerkannt. Bei letzteren ist auch Windows Update aktiv.

Ich habe mittlerweile noch eine weitere Sache ausprobiert:
Durch den Aufruf von signtool mit dem Parameter "signwizard" ist es mir - so glaube ich - gelungen die Stammzertifikate mit in die Signatur einzubeziehen.

Dies hat zur Folge gehabt, dass die Fehlermeldung sich geändert hat:

Zitat:

Eine Zertifikatskette wurde zwar verarbeitet, endete jedoch mit einem Stammzertifikat, das beim Vertrauensanbieter nicht als vertrauenswürdig gilt.

Beste Grüße
Stefan

[mquadrat]

Das Integrieren nützt dir ja auch nichts. Der Anwender mißtraut deiner Signatur inkl. allem was da noch drin ist per default. Nur wenn er bereits der Partei vertraut, die für dich bürgt (also Verisign), dann wird die Signatur als gültig erachtet.

[Dawn87]

Was müsste ich daraus für eine Konsequenz ziehen?

Ein Setup für Windows 7 das digital signiert ist und eins für XP ohne digitale Signatur? Hab ich so noch nicht gesehen.

Vor dem Aufruf der MSI wirklich immer die VeriSign-Zertifikate importieren? Das hab ich manuell ja mal gemacht, das klappt dann. Wäre aber überrascht, wenn es da keine andere Möglichkeit gibt...

[Bernhard Geyer]

Also wir haben auch unser Zertifikat von Verisign und keine Probleme.
Ok, verwenden auch keinen MSI sondern InnoSetup aber beim starten der Exe kommt der schönere UAC-Dialog mit Hinweis auf unsere Firma.

Ergänzt du eigentlich auch einen Timestamp (signtool.exe timestamp ...)?
Und ist dein Zertifikat auch noch nicht abgelaufen?

[Dawn87]

Auch mit Timestamp tritt das Problem auf. Das Zertifikat ist noch bis in den Februar hinein gültig.

[Bernhard Geyer]

Welches Genaue Zertifikat hast du (also jetzt nicht die Datei).
Als Exe-Info haben wir beim Zertifikat:

Ausgestellt von "VeriSign Class 3 Code Signing 2009-2 CA"

Von welchem Root wurde dein Zertifikat ausgestellt?

[Dawn87]

Also bei mir steht:

Ausgestellt von: "VeriSign Class 3 Code Signing 2010 CA". Eventuell wird das 2009er CA ab SP3 mitgeliefert, das 2010er aber nicht?

[Bernhard Geyer]

Zitat von Dawn87:

Also bei mir steht:

Ausgestellt von: "VeriSign Class 3 Code Signing 2010 CA". Eventuell wird das 2009er CA ab SP3 mitgeliefert, das 2010er aber nicht?

Könnte natürlich sein. Vor der letzten Verlängerung hatten wird "VeriSign Class 3 Code Signing 2004 CA".

Ich würde das mal an Verisign heran tragen wieso die neuerdings verwendeten Root-Zertifikate nicht mehr bei XP dabei sind bzw. per Update verteilt werden.

Hast du aber auch geschaut ob alle Updates installiert sind. AFAIK war das letzte Zertifikatsspeicher-Update nur ein Optionales Update.