Eigene Anwendungen digital signieren - eine Mini-Einführung

[Achim Kalwa]

Hallo Hans,

brauchst Du das, um Deine Programme für Vista fit zu machen?

Zitat:

Zitat von Gruber_Hans_12345

Ob Schwachsinn oder nicht, wenn man kommerziell Geld mit Programmen verdient, dann kann man schon mal etwas Geld ausgeben, damit der Benutzer zumindest sicherstellen kann, das dieses Programm von meiner Firma kommt, und da die benutzer mir trauen, wissen die dann zumindest, aha, das kann ich ohne probleme ausführen.

Genau dafür ist die Signierung des Codes gedacht. Der Anwender soll bei der Installation des Programmes unter Vista (und künftigen Windows-Versionen) nicht gleich einen Schreck eingejagt bekommen: "Ein unbekanntes Programm versucht auf den Computer zuzugreifen".

Zitat:

Zitat von Gruber_Hans_12345

Nur bin ich mir noch nicht sicher, ob man diese billigen von http://www.ksoftware.net/code_signing.html auch verwenden kann, oder ob man dann später mal drauf kommt, wäre doch eines von verisign besser gewesen

Ich habe die Beispieldatei http://www.ksoftware.net/digital_signature_example.exe heruntergeladen; unter Vista Business SP1(RC1) Rechtsklick->Eigenschaften->Digitale Signaturen; es wird angezeigt:

Code:

Name des Signaturgebers: K Software
E-Mail-Adresse:          [email][e-mail][/email]
Zeitstempel:             Montag, 2. November 2007 01:01:02

Unter "Details"->"Zertifikat anzeigen" erfährt man:

Code:

Dieses Zertifikat ist für die folgenden Zwecke beabsichtigt:
- Garantiert, dass die Software von einem Software-Herausgeber stammt
- Schützt die Software vor Änderungen nach der Veröffentlichung.

Ausgestellt für: K Software
Ausgestellt von: UTN-USERFirst-Object
Gültig ab 26.10.2007 bis 26.10.2008

Alles in Allem sieht das genau so wie die Daten bei einem Zertifikat von Verisign (hab ich auf der Arbeit). Ob das unter künftigen Windows-Versionen noch genau so ist, kann Dir vermutlich nur Microsoft sagen.

Ich hab' dann mal mit einem Hex-Editor ein Byte im Header modifiziert.
Das Programm kann noch immer gestartet werden, jedoch ergibt die Überprüfung des Zertifikates:
"Die digitale Signatur ist ungültig."
Hier hätte ich mir gewünscht, dass Vista bereits beim Start den Anwendung auf diesen Umstand hinweist. Aber das ist wohl nicht der Firma K Software anzulasten, sondern eher Microsoft.

HTH
Achim

[STS301]

hi

ich habe bein Problem beim öffnen der makecert.exe, wenn ich es öffne schließt es sich sofort wieder, und ich finde nur das SDK 1.1, im Verzeichnis Microsoft.Net finde ich nur das 1.1er obwohl(siehe Anhang) ich 2.0 und 3.0 auch installiert habe, was stimmt da nicht??

[Achim Kalwa]

Hallo,

Zitat:

Zitat von STS301

ich habe bein Problem beim öffnen der makecert.exe, wenn ich es öffne schließt es sich sofort wieder, und ich finde nur das SDK 1.1, im Verzeichnis Microsoft.Net finde ich nur das 1.1er obwohl(siehe Anhang) ich 2.0 und 3.0 auch installiert habe, was stimmt da nicht??

Im Screenshot links ist vermutlich ein Ausschnitt der installieren Software-Pakete zu sehen (Systemsteuerung). Dort ist ja das .NET SDK 2.0 gelistet. Ist es denn auch installiert?
Schon mal "reparieren" versucht? Bzw. de-installieren und neu installieren?

KalwaDOS

[STS301]

mit reparieren hab ich es jetzt versucht, hat sich aber nichts geändert, ich lade es mir jetzt noch einma herunter und versuche es dann noch einmal.

kann mir wer das Problem mit dem makecert.exe erklähren (siehe voriger Beitrag)

[Achim Kalwa]

Zitat:

Zitat von STS301

kann mir wer das Problem mit dem makecert.exe erklähren (siehe voriger Beitrag)

MakeCert ist ein Kommandozeilenprogramm. Da geht nix auf. Du hast vermutlich einfach im Explorer einen Doppelklick darauf gemacht. Öffne eine Eingabeaufforderung und folge den Beispielen am Anfang dieses Threads.

HTH
KalwaDOS

[Gruber_Hans_12345]

Zitat:

Zitat von kalwados

Hallo Hans,
brauchst Du das, um Deine Programme für Vista fit zu machen?
Genau dafür ist die Signierung des Codes gedacht. Der Anwender soll bei der Installation des Programmes unter Vista (und künftigen Windows-Versionen) nicht gleich einen Schreck eingejagt bekommen: "Ein unbekanntes Programm versucht auf den Computer zuzugreifen".

Ja sozusagen, es sieht beim Windows Server, und nun auch beim Vista Client, einfach doof aus, wenn man ein kommerzielles Progrmam verkauft, das zig tausend euro kostet, und dann kommt dieses "unbekannter herausgeber" -> möchte es einfach in dieser hinsicht etwas professioneller haben.

Nur bin ich mir noch nicht ganz sicher, ob sich die mehr investition von VeriSign lohnt oder eher nicht.

[Gruber_Hans_12345]

Soooooooo, habe mir jetzt mal so ein Teil von Comodo bzw K-Software geholt.

Hat zwar etwas gedauert, bis ich das Zertifikat aus dem Firedox raus, dann in den IE rein, und dann mit openSSL ein .spc und .pvk DAtei erzeugt habe.
Aber nun kann ich mit signCode, meine exe Anwendungen signieren ...

eine Frage habe ich noch, weiß jemand einen Weg, wie ich mir das sparen kann, das ich jedes mal das Passwort eingeben muß beim signieren?

Ich möchte gerne das ganze automatisieren, und da stört diese Eingabe etwas ...

(Weiss auch jemand, ob es das signTool irgnedwo zum runterladen gibt, ohne gleich alles von MSDN zu laden?)

[xZise]

Zitat:

Zitat von Gruber_Hans_12345

[...]eine Frage habe ich noch, weiß jemand einen Weg, wie ich mir das sparen kann, das ich jedes mal das Passwort eingeben muß beim signieren?

Ich möchte gerne das ganze automatisieren, und da stört diese Eingabe etwas ...[...]

Ich würde mich freuen, dass ein Passwort angegeben werden muss.
So nützt ein Schädling die Datei nichts, und kann nichts in deinem Namen signieren.

MfG
xZise

[Gruber_Hans_12345]

Zitat:

Zitat von xZise

Zitat:

Zitat von Gruber_Hans_12345

[...]eine Frage habe ich noch, weiß jemand einen Weg, wie ich mir das sparen kann, das ich jedes mal das Passwort eingeben muß beim signieren?

Ich möchte gerne das ganze automatisieren, und da stört diese Eingabe etwas ...[...]

Ich würde mich freuen, dass ein Passwort angegeben werden muss.
So nützt ein Schädling die Datei nichts, und kann nichts in deinem Namen signieren.

MfG
xZise

Es kann ja ein Passwort angegeben werden, nur sollte dieses halt auch als Parameter angegeben werden können.

Bei mir, werden bei Bedarf exe Datein erzeugt, sind 7Zip komprimierte Dateien, diese werden vollautomatisch erzeugt, auf einen Webserver geladen, und anschließend kann es sich der kunde dann runterladen, und diese würde ich auch gerne signieren, wenn schon denn schon ..., nur dazu muß der signierungsprozess vollautomatisch ablaufen können.

[Gruber_Hans_12345]

Also, ich verwende im Moment das hier http://www.stephan-brenner.com/?page_id=9 ... ist zwar keine schöne Lösung, aber es funktioniert fürs erste
muß dann später mal schauen, was passiert, wenn ich das ganze aus einem Dienst heraus starte ...