Code Signing - Grundsatzfragen

[madas]

Zitat von H4ndy:

Zitat von madas:

Als Tipp: Sucht mal bei "Gockel" nach OpenSSL und self signed.

Fuer "offizielle" Software kann man keine selbstsignierten Zertifikate nuzten, da das Root-Cert nicht in den Speichern der Anwender ist und somit trotzdem eine Warnung kommt. Sowas kann man fuer Testzwecke mal machen und auf dem eigenen Rechner das generierte Zertifikat installieren. Dafuer braucht man uebrigens auch kein extra OpenSSL, sondern einfach nur die Tool-Suite von Microsoft zur EXE-Signierung.

Tja dann musste mal richtig suchen. Mit OpenSSL kannste Dein eigenes CA erstellen. Dieses in den Root-Cert Speicher geworfen und schon werden alle
Programme die Du mit deinem Code Signing Zertifikat (das mit dem CA erstellt wurde) signiert hast ohne Warnung ausgeführt.

Grüße.

PS: Das Ganze geht auch für https Zertifikate.

[H4ndy]

Zitat von madas:

Tja dann musste mal richtig suchen. Mit OpenSSL kannste Dein eigenes CA erstellen. Dieses in den Root-Cert Speicher geworfen und schon werden alle
Programme die Du mit deinem Code Signing Zertifikat (das mit dem CA erstellt wurde) signiert hast ohne Warnung ausgeführt.

Dein eigenes CA kann auch das MS-Tool ausspucken. Das tut aber nix zur Sache, dass es keine brauchbare Methode ist.
Wenn ich meine EXE signiere, dann soll das auch auf allen Windowsen laufen, OHNE dass man eigenes Rootzertifikate beim User "einschmuggeln" muss. Das ist ja eben der Sinn dahinter, dass die Signierung von einer bekannten Stelle aus zertifikiert wird.

Fuer meinen Webserver hab ich auch alle SSL-Zertifikate selbst erstellt und signiert, aber nur fuer den persoenlichen Gebrauch. Wenn ich was serioeses haben woellte fuer was Leute Geld ausgeben, dann wuerde ich mir auch ein "echtes" SSL-Zertifikat kaufen.

Kurz: Es geht um die Chain of Trust, und die ist bei selbstsignierten Sachen nicht oder nur unzureichend gegeben.

[BUG]

Zitat von H4ndy:

Fuer "offizielle" Software kann man keine selbstsignierten Zertifikate nuzten, da das Root-Cert nicht in den Speichern der Anwender ist und somit trotzdem eine Warnung kommt.

Zitat von madas:

Dieses in den Root-Cert Speicher geworfen und schon werden alle
Programme die Du mit deinem Code Signing Zertifikat (das mit dem CA erstellt wurde) signiert hast ohne Warnung ausgeführt.

Dass das funktioniert, hat er ja nicht bezweifelt. Man kauft ja Zertifikate, weil die Root-Zertifikate schon auf dem Rechner des Users liegen und vertrauenswürdig sind.

Zitat von madas:

PS: Das Ganze geht auch für https Zertifikate.

Wer installiert sich denn Root-Certifikate aus dem Internet, weil eine Website das fordert.
Würden das alle machen, könnte man sich das Signieren auch direkt sparen.

Ist ja nicht so, das Zertifikate erfunden wurden, um Entwickler zu ärgern.

[Grolle]

Hallo,

unter http://www.startssl.com/ bekommt man ein class2 Zertifikat (code signing) für 49 USD für 2 Jahre. In den nächsten Tagen werde ich in meinem Blog ein Tutorial dazu verfassen (Thema ist gerade aktuell - Link folgt).

Viele Grüße ...