Code Sign Zertifikat

[Bernhard Geyer]

Webseiten-Zertifikat vor 17 Tagen abgelaufen.
Lieber nicht dort bestellen. Ich denke die sind kurz vor der Pleite.

[Bernhard Geyer]

die letzten 3 Bewertungen deuten darauf hin das man lieber von denen die Finger läst.
Geld für Aufträge werden noch Abgebucht, aber sonst passiert nix mehr:

https://www.trustpilot.com/review/ksoftware.net

[rapante]

Moin,
wir hatten im Mai unser Zertifikat bei KSoftware erneuert. Da wir über Jahre nur sehr gute Erfahrungen gemacht und nie Probleme hatten, haben wir das im Vorfeld auch nicht noch mal geprüft.
Das war leider ein Fehler.
Nachdem sich schon der Verifizierungprozess über Wochen hingezogen hatte, gab es von KSoftware gar keine Reaktion mehr auf Mails/Anrufe. Natürlich war das Zertifikat schon per Vorkasse bezahlt. Wir haben uns dann direkt an Sectigo gewand und auch da hat es unzählige (unbeantwortete) Mails und Anrufe benötigt. Immer wieder hieß es, das Zertifikat wurde JETZT abgeschickt. Der Vorgang wird nun priorisiert behandelt ... etc.

Letztendlich hat es nach 3 Monaten! doch noch geklappt. Das war aber definitiv das letzte mal mit KSoftware/Sectigo.

[Uwe Raabe]

Da habe ich wohl nochmal Glück gehabt. Meine Bestellung für ein Zertifikat ohne Token hatte ich am 16.04.2023 bei K-Software gemacht und das Zertifikat dann am 20.04.2023 von Sectigo erhalten. Nun habe ich erstmal für drei Jahre Ruhe und dann sehen wir weiter.

Vielleicht hat sich bis dahin ja auch schon im Bereich automatisches Signieren im Build-System etwas getan. Für alle mit ähnlichen Problemen kann ich diesen Thread in der Englischen DP empfehlen: New Code Signing Certificate Recommendations. Der dort verlinkte Blog-Artikel von Vincent Parret ist auch sehr zu empfehlen.

[Papaschlumpf73]

Der Blog-Eintrag, den Uwe gefunden hat, ist wirklich lesenswert. Mir graut's schon vor der nächsten Verlängerung, da ich fast nur remote arbeite. Dennoch habe ich mal die alte Rechnung rausgekramt: Letztes Jahr im Juli 2022 habe ich für 3 Jahre insgesamt und komplett $177 bezahlt. Dafür bekomme ich heute nicht mal mehr ein Jahr und muss den Token noch dazu kaufen.

[kuba]

Ich habe mal zwei "günstige" Anbieter im Internet herausgesucht. Zwei Webseiten sind in deutscher Sprache und die Herkunft ist angeblich in Europa. Leider unterstützen beide "günstigen" Angebote nur Cloud Code Signing. Das bedeutet wohl, dass ähnlich wie bei einer 2 Faktor Authentifizierung, mit einer App auf dem Smartphone gearbeitet werden muss. Es handelt sich um SSLMentor und SSLPOINT.

Was haltet Ihr davon ? Bezüglich der Bewertungen scheint alles in Ordnung zu sein. Allerdings ist die Geschäftsform von SSLPOINT eine Hongkong Limited.

[rapante]

Die Hardware-Token Problematik haben wir mit virtualhere gelöst. Das haben wir eh schon seit Jahren mit +80 Dongles im Einsatz und ist absolut robust. Auch übers VPN.
Alle Dongles befinden sich im Serverraum der Hauptniederlassung. So kommt nichts weg

[Papaschlumpf73]

Zitat von kuba:

Ich habe mal zwei "günstige" Anbieter im Internet herausgesucht. Zwei Webseiten sind in deutscher Sprache und die Herkunft ist angeblich in Europa. Leider unterstützen beide "günstigen" Angebote nur Cloud Code Signing. Das bedeutet wohl, dass ähnlich wie bei einer 2 Faktor Authentifizierung, mit einer App auf dem Smartphone gearbeitet werden muss. Es handelt sich um SSLMentor und SSLPOINT.

Was haltet Ihr davon ? Bezüglich der Bewertungen scheint alles in Ordnung zu sein. Allerdings ist die Geschäftsform von SSLPOINT eine Hongkong Limited.

SSLMentor habe ich eben mal überflogen. Wie bei (wahrscheinlich) allen Anbietern, steht auch hier ziemlich viel Unsinn in den Texten.

Ein Beispiel vom Certum EV CODE Sign: "Die Dateisignierung erfolgt bei der Installation des Programms SimplySign Desktop" Wirklich? Bei der Installation?

Oder der hier: "Das Certum Cloud EV CODE Signing-Zertifikat ist ein beliebtes EV-Code-SSL-Zertifikat." Bin ich zu doof? Ein SSL-Zertifikat ist doch für den Webserver und nicht für die Code-Signierung. Vielleicht habe ich auch nur zu wenig Ahnung davon. Aber anhand der Werbetexte ist es oft schwierig einzuschätzen. Müsste man wahrscheinlich einfach mal ausprobieren.

[haentschman]

Zitat:

Wobei ich die Preise für völlig überzogen halte. Ich denke hier will eine ganze Branche Kasse machen.

...das wird dazu führen, daß immer mehr unsignierte Software unterwegs ist/sein wird.