Signieren der EXE nach Erzeugung

[Darlo]

Ja, Timestamp ist mit drin. Anbei der Befehl

Code:

"c:\Program Files (x86)\Windows Kits\10\bin\x64\signtool.exe" sign /f "[PFAD ZUM CERT]/cert.pfx" /p [PASSWORT] /d "[PRODUKTNAME]" /du "[URL]" /n "[FIRMENNAME]" /t http://timestamp.verisign.com/scripts/timstamp.dll [PFAD DER EXE]

[mm1256]

Hallo,

bei K-Software gibt's doch das Signier-Tool "kSign.exe" und die Kommandozeilen-Variante "kSignCMD.exe". Ich verwende beide. Beim Kommandozeilentool erscheint bei der Auflistung der möglichen Parameter der Hinweis: "All signatures are automatically timestamped by Comodo timestamp server".

Hab ich jetzt was Veraltetes, oder Darlo, oder reden wir von verschiedenen Dingen?

[Bernhard Geyer]

Zitat von Darlo:

Ja, Timestamp ist mit drin. Anbei der Befehl

Code:

"c:\Program Files (x86)\Windows Kits\10\bin\x64\signtool.exe" sign /f "[PFAD ZUM CERT]/cert.pfx" /p [PASSWORT] /d "[PRODUKTNAME]" /du "[URL]" /n "[FIRMENNAME]" /t http://timestamp.verisign.com/scripts/timstamp.dll [PFAD DER EXE]

Und Versisign lässt das Signieren zu obwohl du das Zertifikat woanders gekauft hast?

[mjustin]

Zitat von Bernhard Geyer:

Und Versisign lässt das Signieren zu obwohl du das Zertifikat woanders gekauft hast?

Viele Timestamp Dienste können sich gegenseitig "vertreten". Siehe Alternative timestamping services for authenticode

[Bernhard Geyer]

Zitat von mjustin:

Zitat von Bernhard Geyer:

Und Versisign lässt das Signieren zu obwohl du das Zertifikat woanders gekauft hast?

Viele Timestamp Dienste können sich gegenseitig "vertreten". Siehe Alternative timestamping services for authenticode

Das ist mir neu. Das mit dem instabilen Verisign-Server kenne ich auch. Glücklicherweise gabs bisher keinen totalausfall des Servers wenn wir ihn benötigt haben sondern nur kurzzeitige Probleme

[Darlo]

Ja das geht auch wenn das Zertifikat von woanders herkommt. Habe den glaube ich aus der MS-Hilfe zum signtool kopiert.

[hoika]

Hallo,
was muss man den bei KSoftware für so ein Zertifikat bezahlen und wie lange ist es gültig?


Danke

gefunden ...
http://codesigning.ksoftware.net/


Heiko

[Sir Rufo]

@Darlo

Wenn du mit einer PFX Datei arbeitest, dann kannst du dir die Option /n komplett sparen, die wird nur dann verwendet, wenn du ein Zertifikat aus dem Zertifikatsspeicher verwenden möchtest.

Du solltest deinen Dateien allerdings zwei mal signieren (SHA1 + SHA256)
(s. https://knowledge.symantec.com/fr/su...edirected=true)

Hier mal eine "sicherere" Variante für ein PostBuild-Ereignis:

Code:

"$(SignTool)" sign /v /fd SHA1 /f "$(CERTFILE_SirRufo)" /p $(CERTPASS_SirRufo) /d "$(PROJECTNAME)" /t http://timestamp.verisign.com/scripts/timstamp.dll "$(OUTPUTPATH)"
"$(SignTool)" sign /v /as /fd SHA256 /f "$(CERTFILE_SirRufo)" /p $(CERTPASS_SirRufo) /d "$(PROJECTNAME)" /tr http://timestamp.geotrust.com/tsa "$(OUTPUTPATH)"

Die Werte für $(SignTool), $(CERTFILE_SirRufo), $(CERTPASS_SirRufo) sind in den allgemeinen Optionen hinterlegt. Jetzt wird das Kennwort auch nicht mehr mit dem Projekt verheiratet.

Um das Kennwort komplett da herauszunehmen, kann man das Zertifikat auch in den Zertifikatsspeicher installieren und schon brauche ich kein Kennwort mehr.

Code:

"$(SignTool)" sign /v /fd SHA1 /a /n "Sir Rufo" /s MY /d "$(PROJECTNAME)" /t http://timestamp.verisign.com/scripts/timstamp.dll "$(OUTPUTPATH)"
"$(SignTool)" sign /v /as /fd SHA256 /a /n "Sir Rufo" /s MY /d "$(PROJECTNAME)" /tr http://timestamp.geotrust.com/tsa "$(OUTPUTPATH)"