signtool (Windows 8 SDK) Fehler / Comodo Timestamp server

[mjustin]

Hallo,

bei Verwendung von Comodo mit signtool erhalte ich eine Fehlermeldung:

Code:

signtool sign /v /f Demo_SPC.pfx /tr http://timestamp.comodoca.com/rfc3161 /td sha256 MyExecutable.exe
The following certificate was selected:
    Issued to: Demo_SPC
    Issued by: Demo_CA
    Expires:   Sun Jan 01 01:59:59 2040
    SHA1 hash: B80225071995ECADDD4B89E384619D158C7B8A21

Done Adding Additional Store
SignTool Error: An unexpected internal error has occurred.
Error information: "Error: SignerSign() failed." (-2145844845/0x80190193)

Die URL http://timestamp.comodoca.com/rfc3161 habe ich aus https://superuser.com/questions/1037...g-on-windows-7

Ist dies die richtige URL? Die Dokumentation unter https://support.comodo.com/index.php...tamping-server gibt nur die URL http://timestamp.comodoca.com an, nicht die Varianten je nach Verwendung des /t oder des /tr Parameters. Mit http://timestamp.comodoca.com (ohne /rfc3161) erhalte ich ebenfalls einen Fehler:

Code:

signtool sign /v /f Demo_SPC.pfx /tr http://timestamp.comodoca.com /td sha256 MyExecutable.exe
The following certificate was selected:
    Issued to: Demo_SPC
    Issued by: Demo_CA
    Expires:   Sun Jan 01 01:59:59 2040
    SHA1 hash: 5C4ACE3323CD7211C765965E1604DD34233572AD

Done Adding Additional Store
SignTool Error: An unexpected internal error has occurred.
Error information: "Error: SignerSign() failed." (-2145844845/0x80190193)

[Uwe Raabe]

Ich verwende zwar andere Server, aber versuch doch mal http://timestamp.comodoca.com/?td=sha256

Wenn das nicht klappt, der funktioniert hier: http://sha256timestamp.ws.symantec.com/sha256/timestamp

[mjustin]

Zitat von Uwe Raabe:

Ich verwende zwar andere Server, aber versuch doch mal http://timestamp.comodoca.com/?td=sha256

Wenn das nicht klappt, der funktioniert hier: http://sha256timestamp.ws.symantec.com/sha256/timestamp

Beides getestet, aber mit ähnlicher Fehlermeldung:

Code:

signtool sign /v /f Demo_SPC.pfx /t http://sha256timestamp.ws.symantec.com/sha256/timestamp MyExecutable.exe
The following certificate was selected:
    Issued to: Demo_SPC
    Issued by: Demo_CA
    Expires:   Sun Jan 01 01:59:59 2040
    SHA1 hash: 2F646D4FF66195DC6B594CE0DA1E430BE88AE15C

Done Adding Additional Store
SignTool Error: An unexpected internal error has occurred.
Error information: "Error: SignerSign() failed." (-2146881269/0x8009310b)

Ich verwende das Windows 8 SDK unter Windows 7 64 Bit

p.s. Sorry, teste noch einmal (mit /tr statt /t)

[Uwe Raabe]

Zitat von mjustin:

signtool sign /v /f Demo_SPC.pfx /t http://sha256timestamp.ws.symantec.com/sha256/timestamp MyExecutable.exe

Für SHA256 muss der Parameter auf jeden Fall /tr heißen. Das /t gilt nur für SHA1.

Zitat von mjustin:

Ich verwende das Windows 8 SDK unter Windows 7 64 Bit

Kann ich nicht sagen, ob es daran liegt. Ich verwende das 8.1 SDK unter Win7-64.

[mjustin]

Zitat von Uwe Raabe:

Zitat von mjustin:

signtool sign /v /f Demo_SPC.pfx /t http://sha256timestamp.ws.symantec.com/sha256/timestamp MyExecutable.exe

Für SHA256 muss der Parameter auf jeden Fall /tr heißen. Das /t gilt nur für SHA1.

Ok, es liegt dann vielleicht am SDK. Wenn wir die Signatur nur für unsere interne Windows 7 Umgebung benötigen, genügt SHA1 wahrscheinlich (bzw. SHA256 wird nicht von W7 unterstützt, da habe ich heute noch keinen Überblick).

[Uwe Raabe]

Zitat von mjustin:

Wenn wir die Signatur nur für unsere interne Windows 7 Umgebung benötigen, genügt SHA1 wahrscheinlich (bzw. SHA256 wird nicht von W7 unterstützt

Das ist korrekt. Wenn du beides willst, kannst du die exe auch zweimal signieren - erst mit SHA1 und dann mit SHA256. Dann muss der zweite Aufruf aber ein /as als zusätzlichen Parameter bekommen. Das gibt es aber glaube ich wirklich erst ab SDK 8.1.

Ich sehe gerade, daß in deinem Aufruf noch der /fd SHA256 Parameter fehlt. Per Default wird dann SHA1 angenommen.

[mjustin]

Zitat von Uwe Raabe:

Ich sehe gerade, daß in deinem Aufruf noch der /fd SHA256 Parameter fehlt. Per Default wird dann SHA1 angenommen.

Mit /fd und /td:

Zitat:

signtool sign /v /f Demo_SPC.pfx /fd sha256
/tr http://sha256timestamp.ws.symantec.com/sha256/timestamp /td sha256
MyExecutable.exe
The following certificate was selected:
Issued to: Demo_SPC
Issued by: Demo_CA
Expires: Sun Jan 01 01:59:59 2040
SHA1 hash: 9584751B3F678E4D4A1251380E120CF65B5CF3A7

Done Adding Additional Store
SignTool Error: An unexpected internal error has occurred.
Error information: "Error: SignerSign() failed." (-2145844845/0x80190193)

Mit /t (und sha1) funktioniert es wie erwartet, für heute bin ich mit dem Ergebnis erst einmal glücklich

[Uwe Raabe]

Zitat von mjustin:

Mit /t (und sha1) funktioniert es wie erwartet, für heute bin ich mit dem Ergebnis erst einmal glücklich

Schön.

Ich gehe mal davon aus, daß das Zertifikat auch wirklich SHA256 ist?

[mjustin]

Zitat von Uwe Raabe:

Ich gehe mal davon aus, daß das Zertifikat auch wirklich SHA256 ist?

Sehr gute Frage - ja, im Zertifikat (Datei Demo_SPC.cer) sehe ich SHA256:

Signaturalgorithmus sha256RSA
Signaturhashalgorithmus sha256
Fingerabdruckalgorithmus sha1 (vermutlich muss das "immer" sha1 sein)

Wenn ich mir die Registerkarte "Digitale Signaturen" der Anwendung ansehe ist dort korrekt sha1 zu sehen:

Name des Signaturgebers Demo_SPC
Digestalgorithmus sha1
Zeitstempel Montag, 25. Juli 2018 16:01:13

Code:

makecert -pe -n "CN=Demo_SPC" -a sha256 -cy end
 -sky signature -ic Demo_CA.cer -iv Demo_CA.pvk -sv Demo_SPC.pvk Demo_SPC.cer
Succeeded

pvk2pfx -pvk Demo_SPC.pvk -spc Demo_SPC.cer -pfx Demo_SPC.pfx

signtool sign /v /f Demo_SPC.pfx /t http://timestamp.comodoca.com MyExecutable.exe
The following certificate was selected:
    Issued to: Demo_SPC
    Issued by: Demo_CA
    Expires:   Sun Jan 01 01:59:59 2040
    SHA1 hash: 7C8DD6C6745A07DB034054DB384F707B8F5A62DA

Done Adding Additional Store
Successfully signed: MyExecutable.exe

Number of files successfully Signed: 1
Number of warnings: 0
Number of errors: 0

[Bernhard Geyer]

SHA1 ist nur noch wegen XP nötig.
Wenn man das nicht mehr unterstütz sollte man keine Signierung mehr mit SHA1 durchführen und nur noch SHA256 verwenden