Zertifikate und Signierung von Freeware?

[Uwe Raabe]

Zitat von hanvas:

Sicherer als mit einem Elster Zertifikat bist Du bei einem komerziellen Zertifikat auch nicht wirklich. Letztendlich ist das immer eine Frage des Vertrauens.

Gut, wenn jemand Uwe Raabe nicht vertraut, wird er auch keine meiner Programme installieren. Somit ist mein Zertifikat nicht relevant. Im anderen Fall aber schon. Immerhin steht in dem Zertifikat mein Name und meine Email und es ist von einer allgemein anerkannten Stelle ausgestellt worden. Damit kann sich nicht mal eben jemand seine Programme für meine ausgeben indem er sich ein Zertifikat erstellen lässt, in dem sowohl mein Name als auch meine Email steht und das von einer vertrauenswürdigen Stelle kommt.

Ein Elster-Zertifikat mit einer anonymen Nummer ist aber niemandem direkt zuzuordnen (außer man ist das Finanzamt oder hat eine Draht dahin s.u). Insbesondere kann ich als Benutzer nicht unterscheiden, ob das Programm von Heinz Müller dem Guten oder Fritz Meyer dem Bösen kommt. Damit ist das Zertifikat für diesen Fall vollkommen nutzlos. Helfen tut es wenn überhaupt nur bei denen die sich gar nicht ansehen was sie da installieren und das macht es eigentlich ja noch schlimmer.

Man muss ja auch mal den Zweck eines Elster-Zertifikats hervorheben: Es dient dazu, den Einreicher z.B. einer Umsatzsteuervoranmeldung gegenüber dem Finanzamt zu legitimieren und die übertragenen Daten dem passenden Steuerkonto zuzuordnen. Auch andere eGovernment Dienste unterstützen es, wobei sie sich dann die nötigen Daten von der Finanzverwaltung holen - erst damit erfährt die Stelle den Namen für das Zertifikat (wenn der Nutzer vorher eingewilligt hat). Für eine Legitimierung gegenüber anderen taugt es erstmal nicht.

Das Finanzamt stellt in der Regel jedem Antragsteller ein solches Zertifikat aus - auch Betrügern, Steuerhinterziehern und Trojaner-Programmierern, solange sie eine Steuernummer haben.

Ich würde jedenfalls keine Software installieren, die nur mit einem solchen Zertifikat daher kommt.

[Wittenborner]

Zitat von Uwe Raabe:

Damit mag Windows vielleicht zufrieden sein, ich als installierender Anwender aber sicher nicht. So ein Elster-Zertifikat kann ja jeder haben und ich kann ja nicht unterscheiden, ob das nun dein Zertifikat ist oder das von dem bösen Hacker, der mir seinen Trojaner unterschieben will.

Schlimmer noch - ich habe mit meiner Aussage einen Bock geschossen. Das Zertifikat wird nur auf meinem eigenen Rechner als gültig erkannt (wohl weil ich es zuvor dort mal installiert hatte). Fazit: so nett die Idee mit dem Elster Zertifikat erscheinen mag, sie taugt nicht.

[himitsu]

Nutzen kann man es ja, aber wird halt wie ein "normales" Self-Signed behandelt.

Und ich weiß nicht, ob Fremde deine geheime Steuernummer kennen sollten.

[fred.ahrens]

Über den Link https://www.digicert.com/friends/sysdev/ bekommst Du bei DigiCert ein Zertifikat für 74 USD/Jahr. Diesen Link bekommt man öfter mal von Microsoft "zugesteckt", um Einsteigern diese Thematik zu erleichtern.

[DieDolly]

Auf der Seite sehe ich nicht, wie man sich authentifizieren kann. Kannst du da weitere Infos geben?

[scrat1979]

Zitat von DieDolly:

Auf der Seite sehe ich nicht, wie man sich authentifizieren kann. Kannst du da weitere Infos geben?

Da ich auch gerade nach einer Möglichkeit der Code-Signierung schaue habe ich mal ein Zertifikat beantragt. Benötigt werden folgende Dinge:

1.) Kopie zum Beispiel des Personalausweises oder Führerschein
2.) UND Kopie eines offiziellen Schreibens, aus welchem die Korrektheit der Adresse hervorgeht (z.B. Stromrechnung)
3.) Video-Anruf über Skype zur Identifizierung und Unterzeichnung des Zertifikats

Punkte 1 und 2 sind erledigt. Jetzt warte ich auf Rückmeldung, damit ich den Videoanruf machen kann. Falls gewünscht, werde ich nochmals berichten.

[Rollo62]

Machst Du das als Privatperson, oder Firma ?
Bei letzerem wird normalerweise auch DUNS abgefragt, und evtl. andere ´Nachweise.

[SearchBot]

Eigentlich schade, daß embarcadero keine Zertifikate im Angebot hat, weil ja jeder Entwickler irgendwann über dieses Thema stolpert.

[SearchBot]

Was genau für ein Zertifikat benötige ich denn, ich habe so viele unterschiedliche Produkte und Preise entdeckt!?
Auf trustico.de habe ich zB "Positive SSL" für 19.70€ pro Jahr entdeckt - würde das nicht reichen?

Und dann, wenn ich also ein Zertifikat erworben habe, wie bekomme ich das an meine Anwendung ran - welches Tool nehme ich dafür?