Signierte Datei wird von Windows trotzdem bemängelt

[Alfonso]

Signaturgeber: COMODO SHA-256 Time Stamping Signer
(Siehe Anlage).

Die Eigenschaften sehen sowohl in der Originaldatei und auch nach dem Runterladen identisch aus.

[Alfonso]

Zitat von CCRDude:

AAch ja, und spontan fällt mir auch noch signtool verify ein - was spuckt das denn zur heruntergeladenen Datei aus?

SignTool Error: A certificate chain processed, but terminated in a root
certificate which is not trusted by the trust provider.

[CCRDude]

Da fehlt also ein /ac mit cross certificate, allerdings sehe ich keines für Comodo oder KSoftware, bei letzteren aber im Support. Ja, da steht "nur für kernel mode", aber ich habe das auch schon abseits von Treibern erlebt, dass das fehlte...

[Alfonso]

@CCRDude: Sorry, aber ich verstehe überhaupt nicht was du schreibst. Was willst du mir sagen. Was muss ich tun?

[Sherlock]

Ich hätte ja diesem ganzen Brimborium mit Zertifikaten schon längst ein Ende bereitet. Erst kostet es, dann klappt es nicht. Moment, hab ich ja schon längst, und die Kunden akzeptieren es auch so.

Sherlock

[CCRDude]

@Alfonso: lesen Hinter den Links steht ja schon einiges, die Fehlermeldung sagt auch etwas aus.

Erstmal zum verify... hast Du /pa verwendet?

Und zum /ac: besorg Dir das passende Cross-Certificate und gib es mit /ac dateiname mit in den Parametern an, damit die Kette ("chain") der Zertifikate bis zum einem vertrauenswürdigen Root runter gehen kann.

@Sherlock: es klappt eigentlich sehr zuverlässig, man muss sich nur wie bei so vielen Werkzeugen erst einmal einarbeiten

[Alfonso]

Ich habe Kontakt mit kSoftware aufgenommen und einen langen Mailverkehr gehabt. Sie können es sich nicht erklären, warum der Herausgeber beim SmartScreen nicht bei mir angezeigt wird. Bei ihnen in der USA wird es auf 6 Rechner mit meiner Software korrekt angezeigt unter Windows 10.
Habt Ihr eine Idee?

Ansonsten schrieben sie:

SmartScreen is a reputation based filter/scanner so they're just seeing the new file with the new signature as new (which it is), but there is a relatively easy way around that and you only have to do it once with one signed file. All you need to do is use IE or Edge and download the untrusted file. When the SmartScreen warning comes up click “More” or “More Info” and “Run Anyway”. Do that about 10-15 times and in an hour or so after that the messages go away. Make sure you're downloading your signed file though, this only works if the downloaded file is signed. Once one of your signed files gains reputation, any other file you sign will share in that.

However, you seem to be having an additional problem in that the publisher is showing as Unknown on your PC. I've tested now on 6 PCs here running various versions of Windows and they are all showing the correct information, so I'm a bit puzzled. Do you have additional PCs with which to test

[CCRDude]

Ich kann mich nur wiederholen... ohne /pa ist es zu erwarten, dass signtool die zitierte Fehlermeldung ausspuckt!

Siehe auch Microsoft: Using SignTool to Verify a File Signature

Zitat:

SignTool verify MyControl.exe

If the preceding example fails, it could be that the signature used a code-signing certificate. SignTool defaults to the Windows driver policy for verification.

The following command verifies the signature, using the Default Authentication Verification Policy:

SignTool verify /pa MyControl.exe

[philipp.hofmann]

Kleiner Workaround: Wenn die Setup-Datei nicht mit einem EV-Zertifikat signiert ist, braucht man einige Downloads mit bestätigter Ausführung, bevor SmartScreen aufhört zu meckern und/oder die Datei bei Microsoft einreichen (https://www.microsoft.com/en-us/wdsi/filesubmission/).
Wem das zu aufwändig ist: Die signierte Setup-Datei als Zip-Datei downloadbar machen, ist ein Klick für den Kunden mehr, aber dann meckert SmartScreen nicht mehr bei Setup-Dateien mit Nicht-EV-Zertifikaten.