Anwendungen signieren - welcher Zertifikat-Anbieter?

[Papaschlumpf73]

Zitat von user69:

Generell: EV oder OV? Bisher hatte ich auch nur OV, aber der Bericht, dass Smart Screen da ewig kein ok gibt macht mich nachdenklich. Man bindet sich ja allgemein 3 Jahre. EV kostet halt ca 600 Euro, OV gut 1000 Euro bei Certum.
Was sind da eure Erfahrungen?

Dann wäre die 2. Frage: Dongle oder Cloud. Die Cloud hat ein signing limit bei ssl.com, was für mich aber reicht.
Aber wie zuverlässig funktioniert das?
Kann man das auch von 2 Rechnern alternativ machen?
Final: würdet ihr das cloud signing empfehlen? Es ist ja doch einiges günstiger.

Wir benutzen seit vielen Jahren nur OV von Sectigo. Seit kurzem auch mit USB. Wir hatten damit noch nie einen Smartscreen. Kunden haben auch nichts in dieser Richtung berichtet. Die Cloud-Dienste sind grundsätzlich nicht an eine Maschine gebunden und können von beliebig vielen Rechnern aus verwendet werden.

[himitsu]

Zitat von Papaschlumpf73:

Die Cloud-Dienste sind grundsätzlich nicht an eine Maschine gebunden und können von beliebig vielen Rechnern aus verwendet werden.

Ich dachte das wurde grade deswegen auf USB/Cloud geändert, damit es nicht raubkopiert und nicht "einfach so" sonstwo ausgeführt werden kann?

[dummzeuch]

Zitat von himitsu:

Zitat von Papaschlumpf73:

Die Cloud-Dienste sind grundsätzlich nicht an eine Maschine gebunden und können von beliebig vielen Rechnern aus verwendet werden.

Ich dachte das wurde grade deswegen auf USB/Cloud geändert, damit es nicht raubkopiert und nicht "einfach so" sonstwo ausgeführt werden kann?

Verschwörungstheorie on
Das wurde als Grund vorgeschoben, in Wahrheit ging es darum, mit den Zertifikaten mehr Geld verdienen zu können, und dabei idealerweise die lästigen Einzelprogrammierer und kleinen Firmen aus dem Markt zu drängen. Ach ja: Und Microsoft wollte dabei auch mitverdienen, indem sie den Cloudservice anbieten.
Verschwörungstheorie off

Cloud heißt im Prinzip ja immer auch eine Authentifizierung des Clients gegenüber dem Server. Ohne das jetzt zu wissen: Ich hätte das als Serviceprovider aus Sicherheitsgründen so implementiert, dass man die Clients, die signieren dürfen, beim Server registrieren muss. Dabei aber nicht einfach nur irgendwelche Anmelde-Informationen übermittelt werden sondern etwas kryptographisch sicheres, wie z.B. Private/Public-Key Paare ähnlich wie bei ssh, wo man den Public Key auf den Server laden muss. Vermutlich ist das aber natürlich nicht direkt so gelöst, sondern das macht eine Client-Software für einen unter der Haube.

[himitsu]

Es gab auch die Möglichkeit ein kostenloses SSL-Rootzertifikat z.B. des Firefox zu nutzen, für die CodeSignierung.
Es gibt/gab SSL-Zertifikate, welche auf ein Zertifikat aufbauen, das Windows kennt (und auch Linux), womit ein Teil auch durch Windows validiert werden konnte.