Code Signierung Unterschiede zwischen verschiedenen Anbietern

[v2afrank]

Wir setzen hier einen USB Baustein ein, bei dem wir die Inf Datei verändern um unsere PID einzutragen. Windows 8 verhindert aber, dass nicht signierte Treiber installiert werden (Es gibt zwar einen Workaraound, den wollen wir aber unseren Kunden nicht zumuten)
Also müssen wir die Inf Datei signieren. Ich habe mich da mal umgeschaut und bin auf große Preisunterschiede gestossen.
So nimmt Verisign/Symantec für ein Jahr 499$,
KSoftware/Commondo nimmt 95$

Ich finde den Preisunterschied doch schon gewaltig, verstehe aber nicht wo die Unterschiede zwischen den einzelnen Anbietern sind. Kann mir das jemand erklären ? Welchen Anbieter würdet Ihr empfehlen und warum ? Ich meine mal gelesen zu haben, dass Zertifikate von Verisign von Windows immer akzeptiert werden und bei Zertifikaten von anderen Anbietern ggf. eine Internetverbindung erforderlich ist. Ist das so ? Das wäre für uns ein großes Plus.

Danke schon mal

[generic]

Microsoft arbeitet nur Verisign zusammen. Die ganzen Error-Reportings im Plattform SDK sind auch nur da drauf ausgelegt.
Was du machen kannst, im PSDK befindet sich ein Promotion-Link dann bekommst du ein VeriSign Zertifikat einmalig für 1 Jahr für 99€.

Technisch gibt es keinen Unterschied - ist nur Geld mache.

[Uwe Raabe]

Ich habe auch mein Zertifikat von KSoftware/Comodo wegen des Preises und signiere da meine Exe-Dateien und Setups ohne Probleme. Leider kann ich dir nicht sagen, ob das bei Treibern anders wäre.

[Klaus01]

Hallo,

laut dieser Seite kostet das signieren von Treibern etwas mehr:
http://codesigning.ksoftware.net/index_dc.html

Grüße
Klaus

[musicman56]

Zitat von Uwe Raabe:

Ich habe auch mein Zertifikat von KSoftware/Comodo wegen des Preises und signiere da meine Exe-Dateien und Setups ohne Probleme. Leider kann ich dir nicht sagen, ob das bei Treibern anders wäre.

Hallo Uwe,

ich mache mir Gedanken, meine exe'n auch zu signieren, um den UAC-Dialog etwas kundenfreundlicher zu gestalten. Mein Englisch ist nicht das beste...wie funktioniert sowas? Ich kaufe z.B. bei K-Software ein Zertifikat und dann? So wie ich das verstehe, bekomme ich ein Utility zum Signieren (Patchen) der ausführbaren Dateien und dll's ?

[Union]

Normalerweise erstellst Du ein lokales Zertifikat daraus mit makecert und dann exportierst Du das mit der Zertifikats-Konsole (certmgr) und die Binaries signierst Du dann mit dem Zertifikat mittels signtool. Die ersten beiden Schritte musst Du nur auf einer neuen Maschine machen oder wenn es ein aktualisiertes Zertifikat gibt.

Die Unterschiede zwischen billigen und teureren Anbietern liegen in der Haupstache darin, dass die Premium-Anbieter root-Zertifikate bereits in Windows integriert sind.

[Uwe Raabe]

Zitat von musicman56:

wie funktioniert sowas? Ich kaufe z.B. bei K-Software ein Zertifikat und dann? So wie ich das verstehe, bekomme ich ein Utility zum Signieren (Patchen) der ausführbaren Dateien und dll's ?

Dürfen wir diesen Thread so einfach hijacken?

Also, du kaufst das Zertifikat. Dabei musst du ein paar Angaben zu deiner Person oder Firma machen, wobei man dort wegen der unterschiedlichen Begrifflichkeiten in Deutsch und Englisch schon mal ins Grübeln kommt. Dann werden deine Angaben von Comodo verifiziert - das kann durch ein Telefonat geschehen, muss aber nicht. Was die da im Einzelnen machen, kann ich auch nicht sagen. Das kann aber auch mal 1-2 Tage dauern.

Wenn das alles positiv verlaufen ist, bekommst du eine Nachricht und kannst dein Zertifikat im Browser herunterladen (gibt 'ne Anleitung). Sinnvollerweise legst du dann das Zertifikat an sicherer Stelle auf deinem Rechner ab (Gibt auch 'ne Anleitung - irgendwo).

Jetzt kannst du mit einem Code-Signing-Tool wie z.B. SignTool (MS / Kommandozeile) oder kSign (kSoftware / Windows GUI) die gewünschte EXE signieren. Bei mir läuft das vollautomatisch beim Build mit FinalBuilder ab.

Den Erfolg deiner Bemühungen kannst du dann im Explorer in den Eigenschaften der EXE unter Digitale Signaturen bewundern.

Je nach Gültigkeitsdauer des Zertifikats bekommst du rechtzeitig Nachricht, ob du verlängern willst. Das geht dann ziemlich unproblematisch, da die Verifizierung entfällt.

Mit einem abgelaufenen Zertifikat kannst du keine neuen Signierungen vornehmen. Die bereits signierten Dateien behalten aber ihre Gültigkeit, wenn beim Signieren ein TimeStamp Server angegeben wurde.

[musicman56]

Hallo Uwe,

ich denke/hoffe wir dürfen mal kurz hijacken

Vielen Dank für die schnelle Antwort. Das klingt einfach, dachte immer das ist viel komplizierter. Darum habe ich es jetzt mal gleich bei K-Software bestellt. Die 95 Dollar sind ja wirklich nicht viel. Eine Bestätigungsmail zu dem Verifizierprozess ist soeben auch schon eingetroffen. Jetzt bin ich mal gespannt was passiert

[edit]Habe soeben kSign runtergeladen. Das Zertifikat ist dann wohl die "PFX-Datei" die das Programm "kSign" benötigt.[/edit]

[sh17]

Wenn man nach "KSoftware Partner Coupon" sucht und einen findet, gibts nochmal 10%