eigenes Zertifikat

[haentschman]

Zitat:

Und du schaust dir auch 100%ig exakt die gleiche Datei

Ich habe die Datei "E:\Projects\Projects_Delphi\XXX\_out\Development_ Runtime\XXX.exe" gelöscht und mit dem Build neu erstellt. Der Reiter in den Eigenschaften fehlt.

Zitat:

Und vor allem du verifizierst die gleiche Datei welche du auch signierst?

Ja...
Successfully signed: E:\Projects\Projects_Delphi\XXX\_out\Development_R untime\XXX.exe
Verifying: E:\Projects\Projects_Delphi\XXX\_out\Development_R untime\XXX.exe

Zitat:

Kommt eine seiner Abhängigkeiten (DLLs) vielleicht aus einem anderen Verzeichnis?

Nein.

Zitat:

Mir fiel da das Leerzeichen im Pfad auf ... haste die Argumente sauber in Anführungszeichen übergeben?

Das kommt vom Copy/Paste in diesen Beitrag.

Zitat:

echo off

if not exist E:\Projects\Projects_Delphi\XXX\_out\Development_R untime\XXX.exe exit
if not exist E:\Projects\Projects_Delphi\XXX\_out\app\XXX_Relea se\Win32 md E:\Projects\Projects_Delphi\XXX\_out\app\KTE_Relea se\Win32

E:\Projects\Projects_Delphi\SEAM\Certificate\Tools \signtool.exe sign /v /s "XXX Certificate Store" /n "XXX Signierung" /fd SHA256 "E:\Projects\Projects_Delphi\XXX\_out\Development_ Runtime\XXX.exe"
E:\Projects\Projects_Delphi\XXX\Certificate\Tools\ signtool.exe verify /pa /v "E:\Projects\Projects_Delphi\XXX\_out\Development_ Runtime\XXX.exe"

copy E:\Projects\Projects_Delphi\XXX\_out\Development_R untime\XXX.exe E:\Projects\Projects_Delphi\XXX\_out\app\XXX_Relea se\Win32\XXX.exe

Das einzige was ich nicht einordnen kann:

Zitat:

Done Adding Additional Store
Successfully signed: E:\Projects\Projects_Delphi\XXX\_out\Development_R untime\XXX.exe

Zitat:

Welches signtool verwendest du da exakt

...siehe Bild

[Assarbad]

Hmm, ist mir ein Rätsel. Dann kann ich vermutlich nicht helfen.

[haentschman]

Schade... Trotzdem Danke.

[hoika]

Hallo,
das steht SHA-1.
Das zeigt Windows glaube ich seit neuestem nicht mehr an.
Teste doch mal SHA-256.

[THY4243]

Gerade nachgesehen, Windows 10 1903 zeigt sowohl SHA1 als auch SHA256 in dem Tab "Digitale Signaturen" an.

Die verwendeten Parameter sind bis auf das "/as" identisch zu meinem Ansatz.:

SignTool.exe sign /a /s MY /n "Cert-name" /fd sha256 /as /v %filetosign%

/as Append this signature. If no primary signature is present, this
signature will be made the primary signature instead.

Vielleicht hilft das.

Noch ein Gedanke, die Eigenschaften der signierten Datei auf einem anderen System zu prüfen (ob der Tab da zu sehen ist).

[haentschman]

Moin...

Zitat:

Hallo,
das steht SHA-1.
Das zeigt Windows glaube ich seit neuestem nicht mehr an.
Teste doch mal SHA-256.

Das Zertifikat ist mit SHA1 erstellt. Das ist eine der Optionen. (siehe Bild). Der 2. Part ist die eigentliche Signierung mit SHA256.

Zitat:

E:\Projects\Projects_Delphi\SEAM\Certificate\Tools \signtool.exe sign /v /s "XXX Certificate Store" /n "XXX Signierung" /fd SHA256 "E:\Projects\Projects_Delphi\XXX\_out\Developm ent_ Runtime\XXX.exe"

Zitat:

/as Append this signature. If no primary signature is present, this
signature will be made the primary signature instead.

...probiere ich mal.

Nachtrag: Auch /as hat keine Auswirkung.

[THY4243]

Manchmal ist es gut zu wissen, was nicht hilft - hier der Parameter "/as".

Als Hinweis, ich trenne SHA1 von SHA256 - arbeite also mit zwei unterschiedlichen Zertifikaten und signiere entsprechend nur im jeweiligen SHA-Level.

Es gibt da eine Antwort in der Diskussion, die m.E. ein Ansatz sein könnte:

Zitat:

Nach dem ich das andere Zertifikat (DIMOWA®) installiert hatte, wurde die EXE (dSRG.exe) richtig erkannt.

Lässt sich denn mit dem DIMOWA Zertifikat immer eine signierte Exe erstellen? Falls ja, scheint die Signierung mittels Signtool und die Batch zu stimmen.
Wenn es dann mit dem anderen Zertifikat nicht klappt, würde ich eher dort ansetzen - so das Zertifikat in Ordnung ist, wovon ich ausgehe.
Dem Tipp von Assarbad mit der Auswahl folgend:

Zitat:

Was darauf hindeutet, daß signtool womöglich ein anderes Zertifikat zum Signieren aussucht, als du dachtest (mit höheren Verbosity-Leveln kannst du schauen was genau signtool da macht). Schließlich hat signtool ganz eigene Regeln welches Zertifikat genommen wird (bspw. mit der längsten Gültigkeit) wenn man nur den Namen benutzt um das Zertifikat zu identifizieren. Stattdessen sollte man eigentlich den Fingerabdruck des Zertifikats benutzen, muß dann aber das entsprechende Skript alle paar Jahre aktualisieren.

Zumindest würde da ein möglicher Fehler bei der Auswahl des Zertifikates wegfallen.