Code Sign Zertifikat

[Uwe Raabe]

Da habe ich wohl nochmal Glück gehabt. Meine Bestellung für ein Zertifikat ohne Token hatte ich am 16.04.2023 bei K-Software gemacht und das Zertifikat dann am 20.04.2023 von Sectigo erhalten. Nun habe ich erstmal für drei Jahre Ruhe und dann sehen wir weiter.

Vielleicht hat sich bis dahin ja auch schon im Bereich automatisches Signieren im Build-System etwas getan. Für alle mit ähnlichen Problemen kann ich diesen Thread in der Englischen DP empfehlen: New Code Signing Certificate Recommendations. Der dort verlinkte Blog-Artikel von Vincent Parret ist auch sehr zu empfehlen.

[Papaschlumpf73]

Der Blog-Eintrag, den Uwe gefunden hat, ist wirklich lesenswert. Mir graut's schon vor der nächsten Verlängerung, da ich fast nur remote arbeite. Dennoch habe ich mal die alte Rechnung rausgekramt: Letztes Jahr im Juli 2022 habe ich für 3 Jahre insgesamt und komplett $177 bezahlt. Dafür bekomme ich heute nicht mal mehr ein Jahr und muss den Token noch dazu kaufen.

[kuba]

Ich habe mal zwei "günstige" Anbieter im Internet herausgesucht. Zwei Webseiten sind in deutscher Sprache und die Herkunft ist angeblich in Europa. Leider unterstützen beide "günstigen" Angebote nur Cloud Code Signing. Das bedeutet wohl, dass ähnlich wie bei einer 2 Faktor Authentifizierung, mit einer App auf dem Smartphone gearbeitet werden muss. Es handelt sich um SSLMentor und SSLPOINT.

Was haltet Ihr davon ? Bezüglich der Bewertungen scheint alles in Ordnung zu sein. Allerdings ist die Geschäftsform von SSLPOINT eine Hongkong Limited.

[rapante]

Die Hardware-Token Problematik haben wir mit virtualhere gelöst. Das haben wir eh schon seit Jahren mit +80 Dongles im Einsatz und ist absolut robust. Auch übers VPN.
Alle Dongles befinden sich im Serverraum der Hauptniederlassung. So kommt nichts weg

[Uwe Raabe]

Das funktioniert beim Code Signing aber nur dann, wenn die Software für das Token nicht bei jedem Zugriff interaktiv ein Passwort abfragt.

[Papaschlumpf73]

Zitat von kuba:

Ich habe mal zwei "günstige" Anbieter im Internet herausgesucht. Zwei Webseiten sind in deutscher Sprache und die Herkunft ist angeblich in Europa. Leider unterstützen beide "günstigen" Angebote nur Cloud Code Signing. Das bedeutet wohl, dass ähnlich wie bei einer 2 Faktor Authentifizierung, mit einer App auf dem Smartphone gearbeitet werden muss. Es handelt sich um SSLMentor und SSLPOINT.

Was haltet Ihr davon ? Bezüglich der Bewertungen scheint alles in Ordnung zu sein. Allerdings ist die Geschäftsform von SSLPOINT eine Hongkong Limited.

SSLMentor habe ich eben mal überflogen. Wie bei (wahrscheinlich) allen Anbietern, steht auch hier ziemlich viel Unsinn in den Texten.

Ein Beispiel vom Certum EV CODE Sign: "Die Dateisignierung erfolgt bei der Installation des Programms SimplySign Desktop" Wirklich? Bei der Installation?

Oder der hier: "Das Certum Cloud EV CODE Signing-Zertifikat ist ein beliebtes EV-Code-SSL-Zertifikat." Bin ich zu doof? Ein SSL-Zertifikat ist doch für den Webserver und nicht für die Code-Signierung. Vielleicht habe ich auch nur zu wenig Ahnung davon. Aber anhand der Werbetexte ist es oft schwierig einzuschätzen. Müsste man wahrscheinlich einfach mal ausprobieren.

[himitsu]

sslmentor.de sind Tschechen mit einer deutschen Domain (mindestens seit 5 Jahren)
aber auch .cz und .com, sowie Facebook, Twitter, Youtube, LinkedIn, ...
http://www.sslmentor.cz/
https://de.mapy.cz/zakladni?source=f...9.1889726&z=17

sslpoint.com sind Chinesen, die scheinbar vorwiegend in Europa handeln, aus China raus ähhh nja
aka https://www.octanius.com.hk/solutions/


Nja, da ist es zumindestens nicht verwunderlich, dass da die Übersetzungen bissl haken,

aber zumindestens war (noch) nichts Schlimmes zu finden.

[Michael II]

Für Open Source Projekte scheint Certum interessant zu sein.
Kit mit Karte 69€ pro Jahr, Erneuern 29€ pro Jahr.

[himitsu]

Zitat:

Integrity
Trust and immediate reputation in browsers
Elimination of the "Unknown Publisher" message
Elimination of the Microsoft SmartScreen filter!

Die letzten beiden Punkte fehlen leider, in den OpenSource-Zerzifikaten und sind nur bei den EV-Zertifikaten dabei,
aber gerade das sind oft die Hauptwünsche, an eine Signierung.

Nicht alles kann/will man komplett OpenSource machen ... schade, dass Freeware ausgeschlossen ist.

EV ist aber wohl eh nicht für Einzelpersonen verfügbar.
https://www.ssl.com/de/faq/Welches-C...che-ich-ev-ov/
https://www.ssl2buy.com/wiki/regular...v-code-signing

[haentschman]

Zitat:

Wobei ich die Preise für völlig überzogen halte. Ich denke hier will eine ganze Branche Kasse machen.

...das wird dazu führen, daß immer mehr unsignierte Software unterwegs ist/sein wird.