Signierung einer (free) exe

[Der schöne Günther]

Soweit ich mich erinnere kann man im Windows App Store

1. Die aus dem RAD Studio ausgespuckte .appx hochladen und der Rest geht von selbst
2. Seinen fertig signierten Kram mit eigenem Installer und allem dort einstellen

[himitsu]

Es gibt die Möglichkeit es von Delphi signieren zu lassen (anstatt selber das SignTool z.B. im AfterBuild auszuführen),
> Projektoptionen > Bereitstellung > Provisionierung > Build-Typ = Win XX Bit - Anwendungs-Store
aber auch dort muß von irgendwo die Signatur reingegeben werden.

[dummzeuch]

Zitat von Der schöne Günther:

Wurden für so etwas nicht AppStores erfunden, sodass man sich um so etwas nicht mehr kümmern muss, kein Geld ausgeben und jeder DAU kann einfach auf "installieren" klicken?

Nein, da bist Du auf das Framing hereingefallen. Die AppStores und auch die Signatur wurden erfunden, um die unerwünschten Hobbyprogrammierer, die den Firmen das Geschäft versauen, aus dem "Markt" zu drängen, oder sie zumindest zur Kasse zu bitten.

[Der schöne Günther]

Potz Donner! Dann sind wir da ja wirklich einer großen Sache auf der Spur!

[schorsch666]

Moin @ALL,
also erstmal Danke fuer das rege feedback. doch letztendlich mach ich einfach: garnix, denn ich will das tool ausschliesslich denen geben, die es haben wollen (kein store, etc.) - und dann sollen sie selber zusehen und es "verteilen"...

uebriegns: wers haben will: einfach winken (ich finds sau cool und sollte die tage fertigwerden / erstmal nur fuer windows und nur in "english")

wuensch euch ne schoene restwoche...

...de Schorsch

[Redeemer]

Zitat von dummzeuch:

Zitat von Der schöne Günther:

Wurden für so etwas nicht AppStores erfunden, sodass man sich um so etwas nicht mehr kümmern muss, kein Geld ausgeben und jeder DAU kann einfach auf "installieren" klicken?

Nein, da bist Du auf das Framing hereingefallen. Die AppStores und auch die Signatur wurden erfunden, um die unerwünschten Hobbyprogrammierer, die den Firmen das Geschäft versauen, aus dem "Markt" zu drängen, oder sie zumindest zur Kasse zu bitten.

Zitat von Der schöne Günther:

Potz Donner! Dann sind wir da ja wirklich einer großen Sache auf der Spur!

Das ist schon durchaus richtig, was dummzeuch da schreibt. Das gleiche existiert ja auch bei Website-Zerfikaten. Es gibt die mit Kaufzertifikate als EV, OV oder DV. Aber da gibt es halt als Alternative die DV von Let's Encrypt. Google und Mozilla agieren ganz stark gegen die kommerziellen Zertifizierungsstellen. Im August 2019 wurde die teuerste Stufe (EV) komplett sinnlos gemacht. OV und DV konnte man ohne größere Ahnung vom Thema auch vorher schon nicht unterscheiden. Kommerzielle Zertifikate eignen sich seither im Prinzip nur noch für Leute, die gleichzeitig zu unfähig zur Einrichtung der automatischen Erneuerung sind und zu faul, das alle zwei bis drei Monate für Let's Encrypt manuell zu machen, da sie bis zu 398 Tage gültig sind. Google und Mozilla wollen demnächst Zertifikaten von mehr als drei Monaten Dauer nicht mehr vertrauen, weil Diebstahl und so. Dann ist das Geschäftsmodell der kommerziellen Anbieter dahin.

Es wäre halt ganz nett, wenn es eine Art DV für Software gäbe, also was vollautomatisiert und kostenlos gemacht werden kann. Anders als im Web hat Offenheit auf dem PC und noch viel weniger auf mobilen Geräten Unterstützer. Da darf man als Hobbyentwickler wohl dankbar sein, dass es auf Android noch Sideloading gibt.

[himitsu]

Let's Encrypt entstand ja, als Idee, dass es wesentlich besser ist, wenn es möglichst viel benutzt wird, ohne dass es an den Kosten und Umständlichkeit festhängt.
Genauso, wie Microsoft inzwischen auch "illegale" Installationen mit Sicherheitsupdates versorgt. (die Bösen bestrafen vs. alle Anderen besser zu schützen)

Grade da es bei den AppStores quasi Pflicht ist, wäre es schön, wenn es dort inklusive wäre. (vielleicht über die größe der Einnahmen der Käufe, InAppKäufe und Werbung anteilig deren Kosten verteilen)

[schorsch666]

ich faends cool, wenn man das einfach in Delphi einbinden koennte und beim Compilieren entscheiden/anhaken kann, ob das mit eingebunden werden soll - oder Embarcadero wuerde selbst Zerfikate mit anbieten...

[mjustin]

Zitat von schorsch666:

ich faends cool, wenn man das einfach in Delphi einbinden koennte und beim Compilieren entscheiden/anhaken kann, ob das mit eingebunden werden soll - oder Embarcadero wuerde selbst Zerfikate mit anbieten...

Für CodeSigning-Zertifikate muss im Gegensatz zu Webserver-Zertifikaten eine besondere Validierung des Zertifikatskäufers stattfinden.

Let's Encrypt stellt Domain Validation (DV) Zertifikate zur Verfügung. Die werden ausgestellt für registrierte Domains, daher ist deren Besitzer bekannt.

CodeSigning-Zertifikate kann man ohne Domain kaufen, daher ist eine eigene Organization Validation (OV) oder Extended Validation (EV) notwendig.


Daher würde, wenn Embarcadero die Lizenzen bereitstellt, auch eine Validierung des Käufers stattfinden müssen.

[himitsu]

Wenn ich der Besitzer meiner Domain bin, wäre es doch zu geil, wenn ich jenes bereits validiertes Zertifikat dann auch für meinen Code benutzen könnte, bzw. so in etwa.

Nja, Emba müsste nicht direkt den Käufer verifizieren, sondern bietet zur gekauften Lizenz den Download eines damit verbundenen Zertifikates an.