Zertifikate und Signierung von Freeware?

[Harry Stahl]

Ich habe noch was preisgünstiges gefunden: https://shop.certum.eu/standard-code...onic-code.html

3 Jahre für 329 Euro, bis 16.09 gibt es mit dem Code LUCKY13 einen Nachlass von 13%. (Die haben da auch was für OpenSource für ca. 25 Euro pro jahr).

Vor 30 Minuten bestellt und eben per IDNOW einen Online-Verfication Process durchgeführt. Das ging flott.

Mal sehen, wie der Rest abläuft...

[mytbo]

Zitat von Harry Stahl:

Mal sehen, wie der Rest abläuft...

Kannst du den Prozess ausführlich beschreiben, welche Dokumente du vorhalten musstest und für welches Card Reader Set du dich entschieden hast? Die Bewertungen für IDnow bei Google und Trustpilot sind nicht so toll.

Bis bald...
Thomas

[jaenicke]

IDNow hat den Vorteil, dass es dort mit dem digitalen Personalausweis schnell und ohne nervige Videotelefonate geht. Ich nehme an, dass das auch hier so geht. Damit hatte ich noch nie Probleme bei anderen Identifizierungen.

[Harry Stahl]

Das mit IDNOW lief völlig problemlos, wie erwartet.

Nur ich Basel hab bei der Bestellung nicht aufgepasst und mir ein Produkt geordert, dass voraussetzt, dass ich selber einen Card-Reader und eine compatible Karte habe. Das habe ich leider erst im letzten Schritt gemerkt, als das Zertifikat generiert werden sollte.

Mal schaun was nun. Habe denen vorgeschlagen meine Bestellung zu ändern und auf das Set mit USB-Stick zu wechseln (kostet nur 30,-- Euro mehr).

[Harry Stahl]

Zitat von mytbo:

Zitat von Harry Stahl:

Mal sehen, wie der Rest abläuft...

Kannst du den Prozess ausführlich beschreiben, welche Dokumente du vorhalten musstest und für welches Card Reader Set du dich entschieden hast? Die Bewertungen für IDnow bei Google und Trustpilot sind nicht so toll.

Bis bald...
Thomas

Ich musste nur meinen Personal-Ausweis vorhalten (und mich selber einmal zum Abgleich ins Bild rücken).

Ich habe mich für das "Standard Code signing set" (USB-Set) entschieden. Man erhält dann eine Sim-Karte, die man dann in den USB-Stick stecken kann:

https://shop.certum.eu/standard-code-signing-set.html

War ein wenig gefrickel, mit Download von Treiber und so weiter, aber letzlich alles machbar, funktioniert und ist gut.

Ich benutzte das Signtool und es erscheint dann ein Passwortfenster, wo ich das Passwort eingeben muss, das zuvor auf der Karte gespeichert wurde.

Ich war zuvor ein wenig skeptisch, ob das alles bei meiner etwas ungewöhnlichen Konstellation (Linux als Host, Windows als Client in VM) läuft, aber den Stick konnte ich als Gerät in die Windows-VM übernehmen und kann da benutzt werden.

[Uwe Raabe]

Zitat von Harry Stahl:

es erscheint dann ein Passwortfenster, wo ich das Passwort eingeben muss

Dieses interaktive Signieren, bei dem der Benutzer ein Passwort eingeben, einen Knopf drücken oder seinen Fingerabdruck oder sein Gesicht präsentieren muss, ist für einen automatisierten Build-Prozess schlichtweg nicht durchführbar. Ohne die Möglichkeit einer automatischen Signierung durch einen Build-Agent auf einer virtuellen Maschine ist das für professionelle Softwareentwicklung einfach nicht zu gebrauchen.

Erfreulicherweise scheint sich ja bei VSoft in dieser Richtung was zu tun: https://en.delphipraxis.net/topic/12...&comment=96095

[Harry Stahl]

Zitat von Uwe Raabe:

Zitat von Harry Stahl:

es erscheint dann ein Passwortfenster, wo ich das Passwort eingeben muss

Dieses interaktive Signieren, bei dem der Benutzer ein Passwort eingeben, einen Knopf drücken oder seinen Fingerabdruck oder sein Gesicht präsentieren muss, ist für einen automatisierten Build-Prozess schlichtweg nicht durchführbar. Ohne die Möglichkeit einer automatischen Signierung durch einen Build-Agent auf einer virtuellen Maschine ist das für professionelle Softwareentwicklung einfach nicht zu gebrauchen.

Erfreulicherweise scheint sich ja bei VSoft in dieser Richtung was zu tun: https://en.delphipraxis.net/topic/12...&comment=96095

Also mich stört es kaum, da ich ja so oft nicht eine neue Programmversion herausgebe. Dann muss ich zweimal ein Passwort eingeben (z.B. Signierung der Exe und Signierung des Setup-Programms), das kostet mich vielleicht 4 Sekunden. Gleichzeitig wird es sicherer, weil Passwörter nicht in Batch-Dateien eingespeichert sind oder privat-keys irgendwo frei zugänglich im Dateisystem gespeichert sind.

Hängt also wohl mehr von den Gesamtumständen ab...

[Uwe Raabe]

Es hängt davon ab, ob man einen automatisches Build-System hat, bei dem man den Build-Prozess über einen Klick auf den Start-Button des jeweiligen Projekts auf einem Dashboard (eine Webpage) startet und eben nicht vor dem ausführenden Rechner sitzt und mal eben den USB-Stick einstecken kann.

Die physikalische Basis meines Build-Systems steht im Keller und hat nicht mal einen Bildschirm, eine Tastatur oder eine Maus. Selbst wenn, würde der Build-Prozess gar nicht interaktiv ablaufen, so dass ein manuelles Eingreifen gar nicht möglich wäre (zumindest nicht ohne erheblichen Aufwand).

[himitsu]

Jo, wenn ein automatisiertes System die Anwendung bereitstellt bereitstellen soll, dann ist es echt sowas blöd unbenutzbar.

'nen Roboter, der mit einen künstlichen Finger dran stupst.
https://www.youtube.com/watch?v=Q_3f6OC9p0s

Wenn diese Bereitstellung aber nur intern ist und für die Kunden es (seltener) manuell erstellt wird, dann könnte man es schon so (umständlich) machen.
Für das Interne könnte man ja schließlich auch ein SelfSigned-Zertifikat benutzen.

Zitat:

... steht im Keller und hat nicht mal einen Bildschirm, eine Tastatur oder eine Maus. Selbst wenn, würde der Build-Prozess gar nicht interaktiv ablaufen ...

So einen USB-Stick mit Taster/Fingerabdruck/..., denn könntest du bei dir lokal angesteckt haben und im Keller wird über einen virtuellen USB-Port via LAN drauf zugegriffen.

Aber eigentlich hatte ich mir sowas eher mal andersrum vorgestellt (und viele Andere auch),
also der Stick steckt irgendwo in einem Host/NAS/sonstwo und via LAN kann sich der oder können sich die Entwickler diesen auf einen virtuellen USB-Port bei sich durchschleifen ... jeweils Einer, wer ihn grade braucht.