Ich habe von Thawte ein Software-Signierungs-Zertifikat.

Ich rufe wie gewohnt meine Batch-Datei zum signieren auf:

d:\bat\signcode.exe -n "TimOnize Setup-Programm" -i http://www.hastasoft.de -cn "Harry Stahl" \\ew0\p\Delphi5\PreInstall\Setup_TimOnize.exe -t http://timestamp.verisign.com/scripts/timstamp.dll

Als Result wird wie immer "Success" gemeldet.

Allerdings, wenn ich die so signierte Setup-Datei ausführe, wird "Unbekannter Hersteller" angezeigt und wenn man sich die Zertifikatsinformationen unter Datei, Eigenschaften ansieht, steht dort "Die Signatur des Zeitstempels bzw. des Zertifikats konnte nicht bestätigt werden oder ist ungültig".

Im Dialog steht auch noch "Einer der Gegensignaturen ist ungültig" (siehe Anlage).
Mein Zertifikat ist bis September 2021 gültig. Alle vor ein paar Wochen signierten Setup-Dateien funktionieren weiterhin.

Stand jemand von Euch evtl. auch schon vor diesem Problem und weiß Rat?

Hallo,

so wie es aussieht verwendest du noch das ältere SHA1-Hashing für die Zeitstempel. Hast du es schon mit SHA256 getestet?

Viele Grüße,

karlkoch

Wie sieht's denn mit der Gültigkeit der genannten Gegensignaturen aus, in diesem Fall Symantec Time Stamping Services...?

Ich glaube mich zu erinnern, dass Ende des Jahres (vermutlich heute) irgendein wichtiges Stammzertifikat abläuft, weswegen ältere Android-Versionen Probleme bekommen werden - und wahrscheinlich nicht nur die.

Grüße
Dalai

Moin...

...benutzt du neuerdings MadExcept?

Versuch mal andere Timestamp-Server:
https://gist.github.com/Manouchehri/...455713efada710

nachdem Versign durch "Schmuh" einen Schlechten Ruf sich erarbeitet hat, haben sie doch den ganzen Geschäftbereich verkauft.
Wer weiß ob nicht langsam die noch laufenden Server "kaputt gehen".

Zitat von karlkoch:

Hallo,

so wie es aussieht verwendest du noch das ältere SHA1-Hashing für die Zeitstempel. Hast du es schon mit SHA256 getestet?

Viele Grüße,

karlkoch

Wie müsste ich den Aufruf ändern, um SHA256 zu verwenden?

Zitat von Bernhard Geyer:

Versuch mal andere Timestamp-Server:
https://gist.github.com/Manouchehri/...455713efada710

nachdem Versign durch "Schmuh" einen Schlechten Ruf sich erarbeitet hat, haben sie doch den ganzen Geschäftbereich verkauft.
Wer weiß ob nicht langsam die noch laufenden Server "kaputt gehen".

OK, das war wohl das Problem.

Habe direkt den ersten Timeserver im von Dir genannten Link genommen, danach funktioniert es wie sonst auch.

Herzlichen Dank für den Tipp!!

Problem gelöst.

Zitat:

Habe direkt den ersten Timeserver im von Dir genannten Link genommen, danach funktioniert es wie sonst auch.

Ich habe den Eindruck das alle mit dem Internet verbundene Anwendungen letztendlich Zeitbomben sind und verurteilt zum Tode.
Zumindest gibt es keine Garantie das sie durchwegs verläßlich laufen.

Warum investiert man dafür soviel zeit?

Keine Signierung.. nichts geht mehr.
Toter Weblink.. nichts geht mehr.
Neues OS.. nichts geht mehr.

Das könnte man so weiter ausführen.

Damit beim Start der Anwendung die Meldung des UAC freundlicher aussieht?

Und zum Schutz.
Damit Andere deiner Anwendung vertrauen können
und teilweise muß man, weil der Admin nur "Vertrauenswürdiges" zulässt.

Oder um selber zu prüfen.
Beim Start, ob deine EXE OK ist (kein Fehler in den Bytrs oder Hacker)
und auch Plugins/DLLs/..., damit nur "Zugelassenes" geladen wird.



Andersrum kannst es sogar ausnutzen,
z.B. bei einer Testversion deines Programms, das Zertifikat so regeln, dass es irgendwann ausläuft.
(hier darfst im Programm nur nicht vergessen es selbst nochmal zu prüfen ... sonst könnte jemand das abgelaufener Zertifikat auch einfach aus der Anwendung entfernen, damit Windows nicht mehr reagiert)

Unter https://support.sectigo.com/Com_Know...A01N000000zFK1 findet man Signieroptionen