Zertifikate und Signierung von Freeware?

[Bernhard Geyer]

Zitat von mjustin:

Zitat:

... jedoch ist CAcert im Gegensatz zu kommerziellen CAs in vielen E-Mail-Clients und Webbrowsern nicht in der Zertifikatsdatenbank als vertrauenswürdige Zertifizierungsstelle eingetragen.

https://de.wikipedia.org/wiki/CAcert...%C3%BCrdigkeit

Also wenn es nicht in Windows installiert ist, dann ist es für einen Sinnlos.
Man kann wohl schlecht sagen: "Hey, installier erstmal das Zertifikat von hier ..".

[Wittenborner]

Zitat von Schokohase:

Zitat von SearchBot:

Ich habe bemerkt, daß ich ja ein Zertifikat habe. Hat mich nichts gekostet -- das Elster-Zertifikat.

Könnte ich dieses Zertifikat nicht zur Signierung verwenden? Hat das mal jemand probiert?

Nein.

Du kannst dir auch die Eigenschaften des Zertifikats anschauen und sehen wofür du das verwenden kannst. Definitiv nicht zum signieren von Anwendungen.

Bist du Dir da so sicher? Ich signiere seit Anfang diesen Jahres mit meinem Elster-Zertifikat und es klappt problemlos. Im Eigenschaften-Dialog tauchen die gewünschten 6 Reiter (und nicht nur 5) auf. Unter dem neuen Reiter "Digitale Signaturen" steht: "Die digitale Signatur ist gültig" - und damit müsste doch zumnindest Windows zufrieden sein.

Die bekannten Nachteile sind:

- Der "Zertifikatsinhaber" ist eine anonyme Nummer (10 stellig) und nicht mein Name
- Im Feld "E-Mail" steht "Nicht verfügbar"

Wie sieht es bei euch aus? Mehr noch als die 100 Euro/Jahr war ich das komplizierte Bestellverfahren leid. Das Elster-Zertifikat ist afaik 5 Jahre gültig und man hat es ja sowieso. Ich habe die .pfx Datei sogar von einem ganz anderen Rechner kopiert weil die Buchhaltung bei mir nicht auf dem Entwicklungs-PC läuft.

[Uwe Raabe]

Damit mag Windows vielleicht zufrieden sein, ich als installierender Anwender aber sicher nicht. So ein Elster-Zertifikat kann ja jeder haben und ich kann ja nicht unterscheiden, ob das nun dein Zertifikat ist oder das von dem bösen Hacker, der mir seinen Trojaner unterschieben will.

[hanvas]

Zitat von Uwe Raabe:

So ein Elster-Zertifikat kann ja jeder haben

Na ja, ein bisschen mehr ist es schon. Immerhin musst Du für Elster registriert sein und zumindest einmal gegenüber dem FA verifiziert haben das Du auch tatsächlich Du bist. [1]

Zitat:

und ich kann ja nicht unterscheiden, ob das nun dein Zertifikat ist oder das von dem bösen Hacker, der mir seinen Trojaner unterschieben will.

Sicherer als mit einem Elster Zertifikat bist Du bei einem komerziellen Zertifikat auch nicht wirklich. Letztendlich ist das immer eine Frage des Vertrauens.

Allerdings glaube ich nicht das sich ein fremdes Windows mit einem Zertifikat zufriedengibt welches nur auf meinem Rechner als vertrauenswürdig ausgewiesen (im Zertifikatssspeicher vorhanden) ist, auf einem anderen Rechner aber nicht im Zertifikatsspeicher ist.

Cu Ha-Jö

[1] https://www.elster.de/eportal/regist...swahl/hinweis2

[Bernhard Geyer]

Wenn Windows nicht mehr "Jammert" hat es für 99% der Einsatzfälle seinen Zweck erfüllt.
ob das aber von Elster so gedacht war?
Ist etwas schönes, das damit jeder seine Exe signieren kann ohne viel Geld auszugeben (auch wenn es die o.g. Einschränkungen gibt)

Aber ob das von Erfinder so gewollt war oder einfach nur "lass wir mal alles zu. Mal schauen welche Nutzung uns noch einfällt"

[TurboMagic]

Da fragt man sich sogar, warum bei Erzeugung dieses Elster Zertifikates nicht sowieso der Name des Anforderers
reingeschrieben wird. Das Finanzamt hat den sowieso. Sollte vom Aufwand her auch nicht zu hoch sein.

Oder beruft sich da mal wieder jemand auf den Datenschutz?

[Uwe Raabe]

Zitat von hanvas:

Sicherer als mit einem Elster Zertifikat bist Du bei einem komerziellen Zertifikat auch nicht wirklich. Letztendlich ist das immer eine Frage des Vertrauens.

Gut, wenn jemand Uwe Raabe nicht vertraut, wird er auch keine meiner Programme installieren. Somit ist mein Zertifikat nicht relevant. Im anderen Fall aber schon. Immerhin steht in dem Zertifikat mein Name und meine Email und es ist von einer allgemein anerkannten Stelle ausgestellt worden. Damit kann sich nicht mal eben jemand seine Programme für meine ausgeben indem er sich ein Zertifikat erstellen lässt, in dem sowohl mein Name als auch meine Email steht und das von einer vertrauenswürdigen Stelle kommt.

Ein Elster-Zertifikat mit einer anonymen Nummer ist aber niemandem direkt zuzuordnen (außer man ist das Finanzamt oder hat eine Draht dahin s.u). Insbesondere kann ich als Benutzer nicht unterscheiden, ob das Programm von Heinz Müller dem Guten oder Fritz Meyer dem Bösen kommt. Damit ist das Zertifikat für diesen Fall vollkommen nutzlos. Helfen tut es wenn überhaupt nur bei denen die sich gar nicht ansehen was sie da installieren und das macht es eigentlich ja noch schlimmer.

Man muss ja auch mal den Zweck eines Elster-Zertifikats hervorheben: Es dient dazu, den Einreicher z.B. einer Umsatzsteuervoranmeldung gegenüber dem Finanzamt zu legitimieren und die übertragenen Daten dem passenden Steuerkonto zuzuordnen. Auch andere eGovernment Dienste unterstützen es, wobei sie sich dann die nötigen Daten von der Finanzverwaltung holen - erst damit erfährt die Stelle den Namen für das Zertifikat (wenn der Nutzer vorher eingewilligt hat). Für eine Legitimierung gegenüber anderen taugt es erstmal nicht.

Das Finanzamt stellt in der Regel jedem Antragsteller ein solches Zertifikat aus - auch Betrügern, Steuerhinterziehern und Trojaner-Programmierern, solange sie eine Steuernummer haben.

Ich würde jedenfalls keine Software installieren, die nur mit einem solchen Zertifikat daher kommt.

[hanvas]

Zitat von Uwe Raabe:

Zitat von hanvas:

Sicherer als mit einem Elster Zertifikat bist Du bei einem komerziellen Zertifikat auch nicht wirklich. Letztendlich ist das immer eine Frage des Vertrauens.

Gut, wenn jemand Uwe Raabe nicht vertraut, wird er auch keine meiner Programme installieren. Somit ist mein Zertifikat nicht relevant. Im anderen Fall aber schon. Immerhin steht in dem Zertifikat mein Name und meine Email und es ist von einer allgemein anerkannten Stelle ausgestellt worden. Damit kann sich nicht mal eben jemand seine Programme für meine ausgeben indem er sich ein Zertifikat erstellen lässt, in dem sowohl mein Name als auch meine Email steht und das von einer vertrauenswürdigen Stelle kommt.

Ich glaube zwar das das eine Diskussion um des Kaisers Bart ist [1] und wir prinzipiell der gleichen Meinung sind aber sei es drum.

Das ein Name und eine EMail Adresse im Zertifikat steht macht nichts besser oder schlechter. Erst wenn man das tatsächlich selbst überprüft, also versucht den Herausgeber zu kontaktieren, wird das unter Umständen wichtig. Im Grunde das Equivalent zu Schrödingers Katze, so lange niemand prüft kann da drin stehen was will.

Zitat:

Insbesondere kann ich als Benutzer nicht unterscheiden, ob das Programm von Heinz Müller dem Guten oder Fritz Meyer dem Bösen kommt. Damit ist das Zertifikat für diesen Fall vollkommen nutzlos.

Das kannst Du auch bei einem anderen Zertifikat nicht wirklich. Der Unterschied liegt nicht darin wer in einem Zertifikat ausgewiesen ist sondern darin wer zertifiziert. Wenn es (viele) Fälle gibt in denen eine Zertifizierungstelle "einen Bösen" zertifiziert dann verliert die Zertifizierungstelle vertrauen und die meisten werden dieser Stelle nicht mehr vertrauen.

Du argumentierst im Grunde damit das der Weg des OP, wenn er funktionieren würde, dazu führen würde früher oder später das Vertrauen in diese Art von Zertifikaten verloren ginge. Das ist wohl richtig und auch im Interesse der meisten hier, aber es beantwortet nicht die Frage des OP.

Wenn man den ganzen Thread verfolgt hat der OP lediglich einen Weg gesucht

Zitat:

Jetzt verunsichert der Chromebrowser beispielsweise einen Interessenten, wenn er den Download zunächst als "möglicherweise schädlich" kennzeichnet. Auch Windows meckert rum, das Programm könne schädlich sein.

diese Meldungen zu unterdrücken und diesen Weg meint er für sich gefunden zu haben.

[Quote]Helfen tut es wenn überhaupt nur bei denen die sich gar nicht ansehen was sie da installieren und das macht es eigentlich ja noch schlimmer.[/Qute]

Schlimmer für den OP oder schlimmer für die meisten anderen ?

Aber ich behaupte, das dass im konkreten Fall gar keine große Rolle spielen würde. Man müsste sich natürlich die Distributionswege des OP ansehen, aber wenn er seine Freeware auf seiner eigenen Website anbietet, mit und/oder ohne Code, dann nimmt die ungewöhnliche Zertifizierung ja lediglich die ansonsten wahrscheinlich auf seiner Website zu findenden Bitte vorweg sich nicht an den Meldungen zu stören.

Zitat:

Man muss ja auch mal den Zweck eines Elster-Zertifikats hervorheben... Für eine Legitimierung gegenüber anderen taugt es erstmal nicht.

Kein Zertifikat tut das, das Vertrauen liegt immer in der Zertifizierungsstelle.

Zitat:

Das Finanzamt stellt in der Regel jedem Antragsteller ein solches Zertifikat aus - auch Betrügern, Steuerhinterziehern und Trojaner-Programmierern, solange sie eine Steuernummer haben.

Der Prozess nachzuweisen wer man ist, ist aber durchaus ähnlich wie bei anderen Zertifizierungstellen auch.

Ich glaube nicht das es jemanden gibt der ernsthaft darüber zweifelt das man mit genügend krimineller Energie eine GmbH, LTD oder was auch immer Gesellschaft, wo auch immer (Code Signing ist ja kein Urdeutsche Angelegenheit) angemeldet bekommt, zumal eine Reihe von Ländern deutlich niedrigere Standards haben als wir, und sich so ein Zertifikat zum Code-Signing erschwindeln kann.

Zitat:

Ich würde jedenfalls keine Software installieren, die nur mit einem solchen Zertifikat daher kommt.

Ich auch nicht, dann lieber gleich ohne, aber das war nicht die Frage des OP.

cu Ha-Joe

[1] ich bin mir ziemlich sicher das das Ausführen einer einer Exe mit einem Elster Zertifikat nur auf dem eigenen Rechner nicht zu einer Fehlermeldung führt, da dieser Rechner das Zertifikat kennt. Aber vielleicht kann der OP das ja mal prüfen.

[jaenicke]

Zitat von hanvas:

[1] ich bin mir ziemlich sicher das das Ausführen einer einer Exe mit einem Elster Zertifikat nur auf dem eigenen Rechner nicht zu einer Fehlermeldung führt, da dieser Rechner das Zertifikat kennt. Aber vielleicht kann der OP das ja mal prüfen.

Wieso soll denn der Rechner das Zertifikat kennen? Da Elster heute eine reine Browseranwendung ist, wird lokal nichts installiert und auch kein Zertifikat im Zertifikatsspeicher abgelegt.

// EDIT:
Also bei mir kann das Zertifikat auf dem lokalen PC nicht verifiziert werden.

[himitsu]

Das Zertifikat selber muß auch nicht unbedingt direkt bekannt sein.
Es reicht auch, wenn ein zugrundeliegendes Zertifikat dem Windows bekannt wäre.

Ist schließlich bei den normalen Code-Signing-Zertifikaten auch nicht anders, wo ebenfalls Windows "dein" Zertifikat selbst garnicht kennt, aber dort vertraut es dann eben der Zertifikatsaussteller.
OK, abgesehn von den Selbst-Signierten, welche man wirklich direkt bekannt macht.