eigenes Zertifikat

[hoika]

Hallo,
das steht SHA-1.
Das zeigt Windows glaube ich seit neuestem nicht mehr an.
Teste doch mal SHA-256.

[THY4243]

Gerade nachgesehen, Windows 10 1903 zeigt sowohl SHA1 als auch SHA256 in dem Tab "Digitale Signaturen" an.

Die verwendeten Parameter sind bis auf das "/as" identisch zu meinem Ansatz.:

SignTool.exe sign /a /s MY /n "Cert-name" /fd sha256 /as /v %filetosign%

/as Append this signature. If no primary signature is present, this
signature will be made the primary signature instead.

Vielleicht hilft das.

Noch ein Gedanke, die Eigenschaften der signierten Datei auf einem anderen System zu prüfen (ob der Tab da zu sehen ist).

[haentschman]

Moin...

Zitat:

Hallo,
das steht SHA-1.
Das zeigt Windows glaube ich seit neuestem nicht mehr an.
Teste doch mal SHA-256.

Das Zertifikat ist mit SHA1 erstellt. Das ist eine der Optionen. (siehe Bild). Der 2. Part ist die eigentliche Signierung mit SHA256.

Zitat:

E:\Projects\Projects_Delphi\SEAM\Certificate\Tools \signtool.exe sign /v /s "XXX Certificate Store" /n "XXX Signierung" /fd SHA256 "E:\Projects\Projects_Delphi\XXX\_out\Developm ent_ Runtime\XXX.exe"

Zitat:

/as Append this signature. If no primary signature is present, this
signature will be made the primary signature instead.

...probiere ich mal.

Nachtrag: Auch /as hat keine Auswirkung.

[THY4243]

Manchmal ist es gut zu wissen, was nicht hilft - hier der Parameter "/as".

Als Hinweis, ich trenne SHA1 von SHA256 - arbeite also mit zwei unterschiedlichen Zertifikaten und signiere entsprechend nur im jeweiligen SHA-Level.

Es gibt da eine Antwort in der Diskussion, die m.E. ein Ansatz sein könnte:

Zitat:

Nach dem ich das andere Zertifikat (DIMOWA®) installiert hatte, wurde die EXE (dSRG.exe) richtig erkannt.

Lässt sich denn mit dem DIMOWA Zertifikat immer eine signierte Exe erstellen? Falls ja, scheint die Signierung mittels Signtool und die Batch zu stimmen.
Wenn es dann mit dem anderen Zertifikat nicht klappt, würde ich eher dort ansetzen - so das Zertifikat in Ordnung ist, wovon ich ausgehe.
Dem Tipp von Assarbad mit der Auswahl folgend:

Zitat:

Was darauf hindeutet, daß signtool womöglich ein anderes Zertifikat zum Signieren aussucht, als du dachtest (mit höheren Verbosity-Leveln kannst du schauen was genau signtool da macht). Schließlich hat signtool ganz eigene Regeln welches Zertifikat genommen wird (bspw. mit der längsten Gültigkeit) wenn man nur den Namen benutzt um das Zertifikat zu identifizieren. Stattdessen sollte man eigentlich den Fingerabdruck des Zertifikats benutzen, muß dann aber das entsprechende Skript alle paar Jahre aktualisieren.

Zumindest würde da ein möglicher Fehler bei der Auswahl des Zertifikates wegfallen.

[haentschman]

Hallo alle...
ich mache mich mal wieder dran...Tipps sind immer gern gesehen.

Neue Infos:
1. Postbuild BAT (oben)
2. rechtes Fenster Kompilat
3. linkes Fenster Kopie des Kompilates
4. Build Ausgabe:

Zitat:

Build started 24.07.2020 12:52:52.
.
.
.

Target PostBuildEvent:
E:\Projects\Projects_Delphi\xxx\Work\Source\_PostB uild\xxx_Release.bat

The following certificate was selected:
Issued to: xxx Signierung

Issued by: xxx Signierung

Expires: Sun Jan 01 01:59:59 2040

SHA1 hash: B072C0649B1F43AB7F14950BFFDC38ED379303D1


Done Adding Additional Store
Successfully signed: E:\Projects\Projects_Delphi\xxx\_out\Development_R untime\xxx.exe


Number of files successfully Signed: 1

Number of warnings: 0

Number of errors: 0



Verifying: E:\Projects\Projects_Delphi\xxx\_out\Development_R untime\xxx.exe


Signature Index: 0 (Primary Signature)
Hash of file (sha256): ADEED8AD4D62E3B4F64638F1660749EB96FA46817589B3C8E2 288CFA50E68569

Signing Certificate Chain:
Issued to: xxx Signierung

Issued by: xxx Signierung

Expires: Sun Jan 01 01:59:59 2040

SHA1 hash: B072C0649B1F43AB7F14950BFFDC38ED379303D1


File is not timestamped.


Successfully verified: E:\Projects\Projects_Delphi\xxx\_out\Development_R untime\xxx.exe


Number of files successfully Verified: 1

Number of warnings: 0

Number of errors: 0

1 Datei(en) kopiert.
Build succeeded.
0 Warning(s)
0 Error(s)
Time Elapsed 00:01:39.24

!!! alle Dateien in den Ordnern entfernt

Fragen:
1. Warum ist die Kopie 3 Minuten älter?
2. Warum hat die Kopie die richtige Signatur?
3. Warum unterscheiden sich die Dateigrößen?


Danke.

[generic]

Diesen Artikel hast du bestimmt schon gefunden oder?
https://stackoverflow.com/questions/...ing-on-windows

[himitsu]

Ich weiß es jetzt nicht, aber um für Virenscanner nicht böse dazustehn, wird man das bestimmt nicht einfach "blind" und ohne Verlinkung hinten an die EXE anhängen.

Also entweder das Zertifikat wird als Ressource eingefügt, was du leicht mit einem Ressource-Editor/Hacker/... nachsehn kannst.
Oder es wird als Section ins PE-Format integriert. IMAGE_SECTION_HEADER ... da gibt es auch ein paar Progrämmchen, welche dir die Sektionen auflisten.

[haentschman]

Danke...siehe meinen vorhergehenden Post. (EDIT) https://www.delphipraxis.net/1470277-post25.html

[generic]

Ihr habt mich inspiriert ein Video zu erstellen - danke dafür.

Code-Signierung - Wie ihr eure Programme und Firma schützen könnt
https://www.youtube.com/watch?v=UhhaNX2zQwY

[haentschman]

Moin...

Zitat:

Warum hat die Kopie die richtige Signatur?

Ich denke inzwischen, daß das Signieren klappt. Aber bei der Dateierstellung irgendetwas schiefläuft. Wenn ich die Datei, mit der Signatur (die Kopie), in irgendeinen Ordner, auch im Netzwerk (mit installiertem Zertifkat), kopiere, wird das mit Zertifikat in den Eigenschaften angezeigt. Im Original nach dem Kompilieren nicht.

Seht ihr an der Batch was Falsches? Irgend ein Cache der das auslöst?

Danke...