Code Sign Zertifikat

[kuba]

Hallo,

ich habe 2019 ein Code Signing Zertifikat bei K-Software gekauft. Jetzt habe ich eine Erinnerungsmail zur Verlängerung bekommen weil mein Zertifikat nächsten Monat ungültig wird. Leider kann man nicht mehr mit PayPal zahlen. Eins hat mich jedoch stutzig gemacht, wenn ich die Webseite von K-Software im Browser aufrufe erhalte ich die Meldung "unsicher". Also K-Software hat die Webseite nicht mit einem SSL Zertifikat versehen. Ist das denn normal für ein Unternehmen das Zertifikate verkauft ??

Da ich schon mal auf Startcom reingefallen bin bin ich jetzt vorsichtig.
Was meint Ihr, sollte ich mein Zertifikat bei K-Software überhaupt nochmal verlängern oder lieber neu beantragen ?

Wo kauft Ihr euer Code Signing Zertifikat. Ist auch ganz schön teuer geworden weil man jetzt ein Token benötigt.

[Papaschlumpf73]

Im Grunde ist es ja eh keine Verlängerung sondern ein neues Zertifikat. Wenn du dir nicht sicher bist, kauf es woanders. Gibt ja genug Firmen dafür.

[kuba]

Zitat:

Zitat von Papaschlumpf73 (Beitrag 1527021)

Im Grunde ist es ja eh keine Verlängerung sondern ein neues Zertifikat. Wenn du dir nicht sicher bist, kauf es woanders. Gibt ja genug Firmen dafür.

Hast du eine Empfehlung für mich wo es nicht so teuer ist ?

[Papaschlumpf73]

Wir haben zuletzt ein Sectigo Zertifikat mit 3 Jahren Laufzeit geholt. Da war es noch (glaube ich) so 79,- Euro pro Jahr. Durch den aktuellen Preistreiber Hardware-Token sind die aber alle deutlich teurer geworden. Wobei ich die Preise für völlig überzogen halte. Ich denke hier will eine ganze Branche Kasse machen.

Das Zertifikat hatten wir damals über https://codesigncert.com bestellt. Hat alles problemlos funktioniert.

[Bernhard Geyer]

Webseiten-Zertifikat vor 17 Tagen abgelaufen.
Lieber nicht dort bestellen. Ich denke die sind kurz vor der Pleite.

[Bernhard Geyer]

die letzten 3 Bewertungen deuten darauf hin das man lieber von denen die Finger läst.
Geld für Aufträge werden noch Abgebucht, aber sonst passiert nix mehr:

https://www.trustpilot.com/review/ksoftware.net

[rapante]

Moin,
wir hatten im Mai unser Zertifikat bei KSoftware erneuert. Da wir über Jahre nur sehr gute Erfahrungen gemacht und nie Probleme hatten, haben wir das im Vorfeld auch nicht noch mal geprüft.
Das war leider ein Fehler.
Nachdem sich schon der Verifizierungprozess über Wochen hingezogen hatte, gab es von KSoftware gar keine Reaktion mehr auf Mails/Anrufe. Natürlich war das Zertifikat schon per Vorkasse bezahlt. Wir haben uns dann direkt an Sectigo gewand und auch da hat es unzählige (unbeantwortete) Mails und Anrufe benötigt. Immer wieder hieß es, das Zertifikat wurde JETZT abgeschickt. Der Vorgang wird nun priorisiert behandelt ... etc.

Letztendlich hat es nach 3 Monaten! doch noch geklappt. Das war aber definitiv das letzte mal mit KSoftware/Sectigo.

[Uwe Raabe]

Da habe ich wohl nochmal Glück gehabt. Meine Bestellung für ein Zertifikat ohne Token hatte ich am 16.04.2023 bei K-Software gemacht und das Zertifikat dann am 20.04.2023 von Sectigo erhalten. Nun habe ich erstmal für drei Jahre Ruhe und dann sehen wir weiter.

Vielleicht hat sich bis dahin ja auch schon im Bereich automatisches Signieren im Build-System etwas getan. Für alle mit ähnlichen Problemen kann ich diesen Thread in der Englischen DP empfehlen: New Code Signing Certificate Recommendations. Der dort verlinkte Blog-Artikel von Vincent Parret ist auch sehr zu empfehlen.

[Papaschlumpf73]

Der Blog-Eintrag, den Uwe gefunden hat, ist wirklich lesenswert. Mir graut's schon vor der nächsten Verlängerung, da ich fast nur remote arbeite. Dennoch habe ich mal die alte Rechnung rausgekramt: Letztes Jahr im Juli 2022 habe ich für 3 Jahre insgesamt und komplett $177 bezahlt. Dafür bekomme ich heute nicht mal mehr ein Jahr und muss den Token noch dazu kaufen.

[kuba]

Ich habe mal zwei "günstige" Anbieter im Internet herausgesucht. Zwei Webseiten sind in deutscher Sprache und die Herkunft ist angeblich in Europa. Leider unterstützen beide "günstigen" Angebote nur Cloud Code Signing. Das bedeutet wohl, dass ähnlich wie bei einer 2 Faktor Authentifizierung, mit einer App auf dem Smartphone gearbeitet werden muss. Es handelt sich um SSLMentor und SSLPOINT.

Was haltet Ihr davon ? Bezüglich der Bewertungen scheint alles in Ordnung zu sein. Allerdings ist die Geschäftsform von SSLPOINT eine Hongkong Limited.

[rapante]

Die Hardware-Token Problematik haben wir mit virtualhere gelöst. Das haben wir eh schon seit Jahren mit +80 Dongles im Einsatz und ist absolut robust. Auch übers VPN.
Alle Dongles befinden sich im Serverraum der Hauptniederlassung. So kommt nichts weg ;)

[Uwe Raabe]

Das funktioniert beim Code Signing aber nur dann, wenn die Software für das Token nicht bei jedem Zugriff interaktiv ein Passwort abfragt.

[Papaschlumpf73]

Zitat:

Zitat von kuba (Beitrag 1527081)

Ich habe mal zwei "günstige" Anbieter im Internet herausgesucht. Zwei Webseiten sind in deutscher Sprache und die Herkunft ist angeblich in Europa. Leider unterstützen beide "günstigen" Angebote nur Cloud Code Signing. Das bedeutet wohl, dass ähnlich wie bei einer 2 Faktor Authentifizierung, mit einer App auf dem Smartphone gearbeitet werden muss. Es handelt sich um SSLMentor und SSLPOINT.

Was haltet Ihr davon ? Bezüglich der Bewertungen scheint alles in Ordnung zu sein. Allerdings ist die Geschäftsform von SSLPOINT eine Hongkong Limited.

SSLMentor habe ich eben mal überflogen. Wie bei (wahrscheinlich) allen Anbietern, steht auch hier ziemlich viel Unsinn in den Texten.

Ein Beispiel vom Certum EV CODE Sign: "Die Dateisignierung erfolgt bei der Installation des Programms SimplySign Desktop" Wirklich? Bei der Installation?

Oder der hier: "Das Certum Cloud EV CODE Signing-Zertifikat ist ein beliebtes EV-Code-SSL-Zertifikat." Bin ich zu doof? Ein SSL-Zertifikat ist doch für den Webserver und nicht für die Code-Signierung. Vielleicht habe ich auch nur zu wenig Ahnung davon. Aber anhand der Werbetexte ist es oft schwierig einzuschätzen. Müsste man wahrscheinlich einfach mal ausprobieren.

[himitsu]

sslmentor.de sind Tschechen mit einer deutschen Domain (mindestens seit 5 Jahren)
aber auch .cz und .com, sowie Facebook, Twitter, Youtube, LinkedIn, ...
http://www.sslmentor.cz/
https://de.mapy.cz/zakladni?source=f...9.1889726&z=17

sslpoint.com sind Chinesen, die scheinbar vorwiegend in Europa handeln, aus China raus ähhh nja
aka https://www.octanius.com.hk/solutions/


Nja, da ist es zumindestens nicht verwunderlich, dass da die Übersetzungen bissl haken,

aber zumindestens war (noch) nichts Schlimmes zu finden.

[Michael II]

Für Open Source Projekte scheint Certum interessant zu sein.
Kit mit Karte 69€ pro Jahr, Erneuern 29€ pro Jahr.

[himitsu]

Zitat:

Integrity
Trust and immediate reputation in browsers
Elimination of the "Unknown Publisher" message
Elimination of the Microsoft SmartScreen filter!

Die letzten beiden Punkte fehlen leider, in den OpenSource-Zerzifikaten und sind nur bei den EV-Zertifikaten dabei,
aber gerade das sind oft die Hauptwünsche, an eine Signierung.

Nicht alles kann/will man komplett OpenSource machen ... schade, dass Freeware ausgeschlossen ist.

EV ist aber wohl eh nicht für Einzelpersonen verfügbar.
https://www.ssl.com/de/faq/Welches-C...che-ich-ev-ov/
https://www.ssl2buy.com/wiki/regular...v-code-signing

[Rollo62]

Vielleicht ist das auch interessant
https://en.delphipraxis.net/topic/93...commendations/
https://www.finalbuilder.com/resourc...ith-usb-tokens
https://en.delphipraxis.net/topic/7187-k-software/
https://en.delphipraxis.net/topic/10...#comment-80992

Wenn demnächst USB Token Pflicht werden, ist es vielleicht gut noch etwas Puffer zu haben bis da die letzten Falten gebügelt sind.
Deshalb hatte ich mir vor geraumer Zeit noch ein 3yr Zertifikat von K-Software angeschafft.

Nach dem üblichen Prozedere mit Hin und Her hatte es bei mir noch geklappt, aber so richtig "smooth" war der Prozess noch nie.
Kann sein, dass es jetzt noch schlimmer geworden ist.

[himitsu]

USB ist nicht zwingend, aber Hardware-Token werden erzwungen,
weil es diese Certificate Authority Security Council Group (CASC) das vorschreibt, oder so.

Das können auch andere Hardware Security Module sein, z.B. als Schaltschrank-Einschub mit LAN-Port, oder PCIe-Karte.
https://www.line-gate.com/News/852.html

Es kann aber auch eine "sichere" Cloud benutzt werden. :lol:

Oder "Code Signing as Service", aber was der Unterschied zur Cloud ist ... k.A. (ist ja beides irgendwo im Internet auf einem Rechner)
https://www.ssl.com/de/leiten/Codesi...toc-heading-12

[Rollo62]

Zitat:

Zitat von himitsu (Beitrag 1527154)

USB ist nicht zwingend, aber Hardware-Token werden erzwungen,

Genau, deshalb schnell noch ein traditionelles Zertifikat abgreifen, solange es geht.

Ich vermute mal, dass es nicht nur irrsinnig komplex werden wird, sondern auch mal wieder um Faktoren teurer.
Meine stille Hoffnung ist, dass es nach 3 Jahren wenigstens etwas gesetzt hat und Konkurrenz auftaucht.

Ich vermute stark, dass K-Software dann nicht mehr dabei sein wird, nach deren bisherigen Geschäftspraktiken und -Prozessen zu urteilen.

Da kommt dann die Frage auf, ob ein Zertifikat dann auch noch gültig ist, wenn die ausstellende Firma Pleite geht.
Gut, in dem Fall ist das wohl Comodo, die wird es danach auch noch geben.

[himitsu]

Tja, entweder es sind weiterverkäufer, wo du direkt ein Zertifikat von z.B. Comodo bekommst,
oder sie haben sich selbst bei Comodo ein/mehrere Zertifikate besorgt, welche sie dann als Root-Zertifikat für ihre eigenen Kunden benutzen.
So lange ihr Root-Zertifikat gültig ist, sowie auch alle zwischengelagerten Zertifikate und der grundlegende Anbieter (Comodo) seine Authentifizierungsserver nicht abschaltet, wird es noch eine Weile lauffähig sein, zumindestens bis zum Ablauf deines gekauften Zertifikates.

Wenn jemand selbst ein absolutes Root-Zertifikat besitzt (von nichts Anderem geerbt), er geht pleite und seine Authentifizierungsserver nimmt er mit in den Abgrund, dann war's das vermutlich, wenn die Gültigkeit deines Zertifikates nicht mehr geprüft werden kann.

[Rollo62]

Zitat:

Zitat von himitsu (Beitrag 1527158)

Wenn jemand selbst ein absolutes Root-Zertifikat besitzt (von nichts Anderem geerbt), er geht pleite und seine Authentifizierungsserver nimmt er mit in den Abgrund, dann war's das vermutlich, wenn die Gültigkeit deines Zertifikates nicht mehr geprüft werden kann.

Ja genau, aber ich Dummie hab ja vorhin nicht richtig nachgedacht, das Pleite gehen können die ja gar nicht.
Dafür verdienen die ja einfach viel zu viel Geld :stupid:

[himitsu]

nee nee, das ist alles arme Schweine und die machen voll minus, weil die Unterhaltung der Infraastruktur und die viele Arbeit mit der Authentifizierung sooooooooooo teuer sind.

[Rollo62]

Zitat:

Zitat von himitsu (Beitrag 1527163)

die Unterhaltung der Infraastruktur und die viele Arbeit ...

Ja, ist wie bei den Autobahnbrücken :(

[haentschman]

Zitat:

Wobei ich die Preise für völlig überzogen halte. Ich denke hier will eine ganze Branche Kasse machen.

...das wird dazu führen, daß immer mehr unsignierte Software unterwegs ist/sein wird. :?

[dummzeuch]

Zitat:

Zitat von Rollo62 (Beitrag 1527159)

Ja genau, aber ich Dummie hab ja vorhin nicht richtig nachgedacht, das Pleite gehen können die ja gar nicht.
Dafür verdienen die ja einfach viel zu viel Geld :stupid:

Man kann auch pleite gehen, wenn man Geld scheffelt. Man muss es nur schneller wieder ausgeben. Es gibt genügend Leute/Firmen, die das geschafft haben.

[Rollo62]

Zitat:

Zitat von dummzeuch (Beitrag 1527172)

Man kann auch pleite gehen, wenn man Geld scheffelt. Man muss es nur schneller wieder ausgeben. Es gibt genügend Leute/Firmen, die das geschafft haben.

Ja, das stimmt im wirklichen Leben, mit wirklichen Produkten.
Hier werden aber automatisiert "virtuelle" Produkte verkauft, welche noch nicht mal aus Luft bestehen.
Wer es da als relativ renommierte Firma schafft Pleite zu gehen, der ist mein Held :-D

Es gibt dafür nur wenige Gründe IMHO: Pure Gier, Komplette Unfähigkeit zum Projektmanagement, Falsche Freunde, Externe Einflüsse (Gesetze), Kometeneinschlag, ... :-D

[BlueStarHH]

Zitat:

Zitat von Rollo62 (Beitrag 1527219)

Wer es da als relativ renommierte Firma schafft Pleite zu gehen, der ist mein Held :-D

Es gibt dafür nur wenige Gründe IMHO: Pure Gier, Komplette Unfähigkeit zum Projektmanagement, Falsche Freunde, Externe Einflüsse (Gesetze), Kometeneinschlag, ... :-D

Oder man bekommt gesundheitliche Probleme, wie im Falle von KSoftware auf Trustpilot.de nachzulesen.

[Rollo62]

Zitat:

Zitat von BlueStarHH (Beitrag 1527220)

Oder man bekommt gesundheitliche Probleme, wie im Falle von KSoftware auf Trustpilot.de nachzulesen.

Ok, wusste ich nicht.
Wenn es nur von einem Mann abhängt, dann das ist natürlich auch blöd, dann wünsche ich gute Besserung.
Fällt dann wohl trotzdem unten den 2ten Punkt, den ich genannt hatte.
Ich hatte mich da nicht so tief reingesteigert, noch läuft mein Zertifikat 2+x Jahre.

[kuba]

Ich habe mich jetzt für ein Code Signing Zertifikat aus dem Certum Shop entschieden. Das Zertifikat ist 3 Jahre gültig und kommt inkl. USB-Token für 377,- Euro. Hoffentlich klappt das jetzt alles ...

[Rollo62]

Welches Zertifikat hast Du denn genau genommen, das günstigste EV Zertifikat für 3y scheint mir bei 750 EUR zu liegen ?
https://shop.certum.eu/certum-ev-cod...ning-code.html

[Michael II]

Zitat:

Zitat von Rollo62 (Beitrag 1527270)

Welches Zertifikat hast Du denn genau genommen, das günstigste EV Zertifikat für 3y scheint mir bei 750 EUR zu liegen ?
https://shop.certum.eu/certum-ev-cod...ning-code.html

Das Standard ist günstiger...

[himitsu]

Ohh, aber auch mit USB ... dachte das "jetzt noch schnell gekauft" weil noch ohne Token.

[TurboMagic]

Was auch neckisch ist: vor ein paar Jahren hatte ich mal mit OpenSSL ein Zertifikat selber erstellt.
Naja, damit ein Webzugriff auf meine ANwendung per SSL absicherbar war. Dass das nicht ganz die reine Lehre ist, weiß ich.

Aber: hatte man damals in der Konfig von OpenSSL, die der benutzt um das Zertifikat zu erstellen, einen zu großen
Gültigkeitszeitraum angegeben, dann hat OpenSLL ein zertifikat erstellt, dessen Ablaufdatum vor dem gültig ab Datum lag ;-)

AUch gut, oder? ;-)

[kuba]

Zitat:

Zitat von Michael II (Beitrag 1527272)

Zitat:

Zitat von Rollo62 (Beitrag 1527270)

Welches Zertifikat hast Du denn genau genommen, das günstigste EV Zertifikat für 3y scheint mir bei 750 EUR zu liegen ?
https://shop.certum.eu/certum-ev-cod...ning-code.html

Das Standard ist günstiger...

Das Standard https://shop.certum.eu/standard-code-signing-set.html

[Rollo62]

Zitat:

Zitat von kuba (Beitrag 1527303)

Zitat:

Zitat von Michael II (Beitrag 1527272)

Zitat:

Zitat von Rollo62 (Beitrag 1527270)

Welches Zertifikat hast Du denn genau genommen, das günstigste EV Zertifikat für 3y scheint mir bei 750 EUR zu liegen ?
https://shop.certum.eu/certum-ev-cod...ning-code.html

Das Standard ist günstiger...

Das Standard https://shop.certum.eu/standard-code-signing-set.html

Ja, aber das sieht nicht wie ein EV-Zertifikat, für SmartScreen aus,
sonder eher wie ein SSL Browser-Zertifikat.

Standard ( ist das ein OV Zertifikat ) ?

Zitat:

Are you a developer of software that you offer online? Do you want to enable your customers to reliably identify your programs?
Protect your code and sign it with Standard Code Signing. Thanks to the certificate, you will provide your program with:
Integrity
Trust and higher reputation in browsers
Elimination of the "Unknown Publisher" message

zu EV

Zitat:

Are you a software publisher, programmer or a developer who creates a code? Are you making your programs available for download online? Secure your codes, programs and applications with the EV Code Signing Certificate!

Integrity
Trust and immediate reputation in browsers
Elimination of the "Unknown Publisher" message
Elimination of the Microsoft SmartScreen filter!

und dann gibt es da noch ein "OpenSource" Zertifikat.

[himitsu]

Dachte das

Delphi-Quellcode:

"Unknown Publisher" message

meint das hier.
Anhang 56280 (rechts, nachdem man auf weitere Infos klickte)

SmartScreen blockiert beim Start zusätzlich nochmal und macht eine Prüfung gegen eine Cloud von Microsoft, ob das Programm bereits als bösartig bekannt ist.
Da gibt es auch noch so eine CheckOnFirstRun-Prüfung (vergessen wie der Dreck sich offiziell nennt) ... dabei wird das Programm bis zu 30 Sekunden blockiert, wo auf die Antwort der Cloud gewartet wird.
Eventuell startet das Programm dann auch garnicht und das auch noch ohne irgendeine Meldung. (außer im Ereignislog)

Also besonders nett, war es im Windows 11, als dieses raus kam, wo bei jedem Upgrade unseres Programms (Austausch der knapp 100 EXE/DLL/BPL) es erstmal "ewig" hing und tweilweise auch garnichts passierte, die ersten 3-10 Startversuche, und man somit wild auf dem DesktopIcon rumklickte.

[Uwe Raabe]

Sowohl OV als auch EV sind Code Signing Zertifikate - also für EXE, DLL, OCX usw. Ein EV Zertifikat hat halt ein höheres Ansehen, wird nur an eingetragene Firmen ausgegeben und erlaubt es auch Treiber zu signieren.

Seit ein paar Monaten ist auch für OV-Zertifikate ein Hardwaretoken Voraussetzung. Für EV-Zertifikate gilt das schon länger.

[Rollo62]

Zitat:

Zitat von Uwe Raabe (Beitrag 1527337)

Sowohl OV als auch EV sind Code Signing Zertifikate - also für EXE, DLL, OCX usw.

Sollte dann nicht deutlich "OV" und "EV" dabeistehen, um das von Browser-SSL Zertifikaten zu unterscheiden?
Oder ist "OV" automatisch ein "normales" Codesign?
Was ist dann ein "OpenSouce" CodeSign Zertifikat, ein "OV" was bei OSS günstiger ist?

Irgendwie habe ich bei diesen "Zertifiziern" immer das Gefühl, die möchten es so unklar wie möglich ausdrücken, was sie eigentlich verkaufen.
Seltsam, seltsam, aber gut, wenn es am Ende funktioniert und günstig ist, dann ist alles in Ordnung :thumb:

[kuba]

Heute kam das Päckchen mit dem Token. Bestehend aus einem USB-Stick und einer Crypto Card. Mein Laptop hat zum Glück einen Kartenleser und die Software proCertum CardManager erkennt die Karte auch. Mir ist es allerdings ein Rätsel wie es jetzt weiter geht. Hat schon Jemand so ein Zertifikat im Einsatz. Was muss ich machen um meine Dateien zu signieren?

[eholzer]

Zitat:

Heute kam das Päckchen mit dem Token. Bestehend aus einem USB-Stick und einer Crypto Card. Mein Laptop hat zum Glück einen Kartenleser und die Software proCertum CardManager erkennt die Karte auch. Mir ist es allerdings ein Rätsel wie es jetzt weiter geht. Hat schon Jemand so ein Zertifikat im Einsatz. Was muss ich machen um meine Dateien zu signieren?

Mich würde interessieren, ob du weiter gekommen bist?
Kannst du schon die Exes, Dlls signieren?
Kannst du Certum empfehlen?
Aus der Certum-Seite ist mir nicht klar, ob das Zertifikat auch mit Windows 10, 11 funktioniert.
Was musstest du machen um sich zu identifizieren?
Wie lange hat gedauert bis du das Zertifikat bekommen hast?

Grüße,
Eric