Eigene Anwendungen digital signieren - eine Mini-Einführung

[Bernhard Geyer]

Zitat von SirTwist:

hier werden Zertifikate (für Signierung) mit dem Label "certified for" verwechselt. Bitte bitte informiert Euch doch mal vorher.

Hast ja recht. Dieser Thread ist ja sehr aus dem Ruder gelaufen (und ich mach kräftig mit ). Evtl. sollte man den Tread aufteilen. Einen Teil mit Für und wieder nach "Klatsch und Tratsch" und hier nur noch wenn was zum Tutorial zu sagen ist (Ergänzungen, Korrekturen, Verbesserungen).

[xxl1]

Zitat von mschaefer:

Hm wenn ich dass so verfolge, dann warte ich auf "Delphi für Wine"... // Grüße // Martin

sowas in der Art gibt es schon von Borland mit Kylix
Kylix - Wikipedia

[Bernhard Geyer]

Zitat von xxl1:

sowas in der Art gibt es schon von Borland mit Kylix
Kylix - Wikipedia

Ich würde hier die Vergangenheitsform mit "gab es schon" verwenden. Ein Kylix auf aktueller Linux-Version zum laufen zu bekommen wird nicht gerade die einfachste Aufgabe sein.

[Chemiker]

Hallo,

ich habe da mal eine Frage am Rande zu diesem Thema. Wenn ich nur original Programme einsetze die ein digitales Zertifikat besitzen, brauche ich dann noch einen Virenscanner? Weil ich, so habe ich das hier in diesem Beitrag verstanden, ja zweifelsfrei feststellen kann wer der Verursacher für evt. Schäden ist.

Bis bald Chemiker

[SirTwist]

Natürlich brauchst Du noch einen Virenscanner.

1. Wenn ein Programm digital signiert ist, garantiert dir das noch lange nicht, dass das Programm keinen Müll macht. Das entspricht eher so dem KFZ-Kennzeichen beim Auto (ohne TÜV!). Wenn Du feststellen solltest, dass das Programm fragwürdige Sachen macht (z.B. weil Dein Virenscanner Alarm schlägt), kannst Du Dich an den Unterzeichner wenden und auf die eine oder andere Art Genugtuung verlangen.

2. Du surfst ja auch und empfängst Mails. Da gibt es jede Menge Möglichkeiten, Dir etwas unterzujubeln, auch wenn Du nicht willentlich auf eine .exe klickst.

[Assertor]

Zitat von SirTwist:

auf die eine oder andere Art Genugtuung verlangen.

Das klingt ja nach einem Duell, aber ich weiß was Du meinst

[Achim Kalwa]

Hallo Daniel,

erst einmal vielen Dank für Dein Tutorial!
Ich habe heute versucht, die Steps zu reproduzieren:

Zitat von Daniel:

1) Zertifikat erzeugen:

Code:

makecert.exe -$ individual  -r -pe -ss "DP Certificate Store" -n  CN="DP Signierung" "d:\my_certificate.cer"

2) Das frisch erzeugte Zertifikat In den Speicher vertrauenswürdiger Stammzertifizierungsstellen installieren:

Code:

certmgr.exe /add "d:\my_certificate.cer " /s /r localMachine root

3) Eine Datei mit dem neuen Zertifikat digital signieren:

Code:

signtool.exe sign /v /s "DP Certificate Store" /n " DP Signierung " {DATEINAME}

1) schlägt fehl. Wenn ich den Schalter "-pe" weglasse, wird jedoch eine .cer-Datei erstellt.

2) scheint zu funktionieren (keine Fehlermeldung)

3) kann nicht ausgeführt werden, weil signtool.exe nicht vorhanden ist.

Jetzt meine Frage: Welche Version des .NET SDK ist erforderlich?

TIA
KalwaDOS

[CCRDude]

Eigentlich gar kein .NET-SDK, oder? signtool.exe und signcode.exe sind z.B. im Platform SDK enthalten, wenn ich mich nicht irre (brauchen dann nur irgendwelche VC-Runtimes, je nach Platform-SDK-Version, die man aber meist eh schon drauf hat).

[Bernhard Geyer]

Zitat von Chemiker:

ich habe da mal eine Frage am Rande zu diesem Thema. Wenn ich nur original Programme einsetze die ein digitales Zertifikat besitzen, brauche ich dann noch einen Virenscanner? Weil ich, so habe ich das hier in diesem Beitrag verstanden, ja zweifelsfrei feststellen kann wer der Verursacher für evt. Schäden ist.

Nur wenn der Virus die veränderte Exe mit seiner Signatur neu Signiert
Ansonsten meckert Windows uberhaupt nicht wenn eine Signatur kaputt ist. Dazu muß man schon in den Eigenschaften nachschauen bzw. im Code dieser Anwendung wird die Gültigkeit der Signatur überprüft.

[CCRDude]

Ob Windows bei einer kaputten Signatur nicht meckert, wär ich mir nichtmal sicherer. Wichtiger aber: wär ich ein Virus, würd ich die Signatur einfach entfernen (nichtmal selber signieren), solange man Signaturen nicht irgendwo per Policy als Pflicht festlegt (und selbst dann ist ja nichtmal Vista soweit Certified for Vista, daß alle Betriebssystemdateien schon signiert wären), würd das wahrscheinlich nichtmal auffallen.