Eigene Anwendungen digital signieren - eine Mini-Einführung

[Daniel]

Selbst Code signieren

Das ist die absolute Kurzfassung für diejenigen, die mal eben mit digitalen Signaturen herumspielen möchten. In diesem Beispiel wird ein eigenes digitales Zertifikat erzeugt und dann lokal auf dem Rechner installiert.

Warum selbst signieren?
Wird eine nicht signierte Anwendung unter Vista als Administrator ausgeführt, so erscheint das Fenster der Benutzerkonten-Steuerung in recht hässlicher Art und Weise:

Eine digital signierte Anwendung lässt dieses Fenster schon etwas angenehmer ausschauen:

Im professionellen Einsatz wird man um den Erwerb eines Zertifikates nicht umhin kommen, doch für erste Gehversuche auf dem lokalen Rechner kann diese „Spar-Variante“ ausreichen. Kleiner Bonus am Rande: Man kann hiermit auch Treiber signieren und damit zum Beispiel die Vista-Varianten zufriedenstellen, die auf digital signierte Treiber bestehen. Eine weitere Einsatzmöglichkeit für dieses Zertifikat wäre das digitale Signieren einer Anwendung, die nur haus-intern eingesetzt wird, wo der Erwerb eines Zertifikates also nicht zwingend notwendig wäre.

Mit den folgenden zwei Befehlen wird ein Minimal-Zertifikat erstellt und auf dem lokalen Rechner installiert. In meinem Beispiel wird das Zertifikat in der Datei „d:\my_certificate.cer“ gesichert, diesen Pfad müsst Ihr ggf. an Euer System anpassen. Für die Installation des Zertifikates in Schritt #2 werden administrative Rechte benötigt. Die beiden verwendeten Werkzeuge „makecert“ und „signtool“ sind Bestandteile des .NET SDK von Microsoft und finden sich im .\BIN-Verzeichnis der .NET-SDK-Installation.

1) Zertifikat erzeugen:

Code:

makecert.exe -$ individual  -r -pe -ss "DP Certificate Store" -n  CN="DP Signierung" "d:\my_certificate.cer"

2) Das frisch erzeugte Zertifikat In den Speicher vertrauenswürdiger Stammzertifizierungsstellen installieren:

Code:

certmgr.exe /add "d:\my_certificate.cer " /s /r localMachine root

Nun können wir dieses Zertifikat auf unserem lokalen Rechner nutzen. Soll das Zertifikat auch auf anderen Rechnern genutzt werden, so muss die Zertifikatsdatei auf den anderen Rechner kopiert werden und danach der Schritt #2 auf diesem Rechner ausgeführt werden (ebenfalls mit Admin-Rechten).

3) Eine Datei mit dem neuen Zertifikat digital signieren:

Code:

signtool.exe sign /v /s "DP Certificate Store" /n " DP Signierung " {DATEINAME}

4) Die Signatur der Datei verifizieren:

Code:

signtool.exe verify /pa /v {DATEINAME}

Das als Mini-Einführung. Als weitere Referenz seien die Dokumentationen der beiden genutzten Werkzeuge erwähnt.

• Referenz zu makecert.exe:
  http://msdn2.microsoft.com/de-de/lib...y3(VS.80).aspx
  
• Referenz zu signtool.exe:
  http://msdn2.microsoft.com/de-de/lib...az(vs.80).aspx

[rakekniven]

Zitat von Flocke:

Hier hab' ich einen schönen Artikel dazu gefunden.

Ganz unten im Artikel wird auf "X2Net SignCode" verwiesen. Hat jemand Erfahrung mit X2Net SignCode und kann davon berichten?

Gruß

[msickel]

Hallo,

hab das auch mal versucht und alles wurde ohne Fehler ausgeführt. Allerdings kommt nun wenn ich die Applikation starte das das Programm gecracked sei, woran kann das liegen?

Betriebssystem Win 7 / Delphi 2010

Martin



Fehler gefunden, hat sich erledigt!

[RalphBauer]

Hallo!

Ich wärme mal dieses Thema auf.

Es gibt ein kleines Problem mit dem Signieren. Ich verwende Windows 7 Ultimate 64 Bit Deutsch.

Ich möchte eine Anwendung signieren, welche keine Administratorrechte braucht.
Jetzt ist es jedoch so, dass NACH der Signierung der Anwendung das Programmicon verändert ist (dieses UAC Schild zwecks Adminrechten) und wenn man das Programm startet auch dieser UAC Dialog hochkommt und sich der Bildschirm verdunkelt. Also nach der Signierung ist die Anwendung auf einmal gefährlich, will "Änderungen an diesem Computer" vornehmen und braucht plötzlich Adminrechte.

Soll das denn so sein? Kann man da irgendwo noch einen Parameter beim Signieren setzen, dass das Programm als normaler User laufen kann - ganz ohne Adminrechte?

Viele Grüße,
Ralph

[Thomas Feichtner]

Hallo,

ich signiere grade mein Programm mit folgender Routine.

Code:

Signtool sign /f pfxdatei.pfx /p passwort /tr http://tsa.starfieldtech.com /td SHA256 MeinProgramm.exe

Wie kann ich hier noch die E-Mail einfügen?

[rapante]

Hy,
imho muss das mit ins Zertifikat...

Ich glaube so ging das:

Code:

makecert -pe -n "CN=My SPC,E=email@domain"

[Thomas Feichtner]

Danke für die Info

werde ich testen.

[Captnemo]

Hi,

wenn man den beiden Links im Eröffnungsthread folgt, kommt man auf die Beschreibung im MSDN vom Framework 2.0 SDK.
Sind diese beiden Tools nur in diesem SDK vorhanden, oder könnte bzw. sollte man das Windows Framework SDK 4.0 für, wie im meinem Fall, Windows 8 nehmen? Bzw. sind diese Tools auch in dem SDK vorhanden?

[Daniel]

Moin,

laut diesem MSDN-Artikel ist das Tool z.B. auch im SDK des .NET-Frameworks 4.5 vorhanden. Ich denke, dass man annehmen kann, dass es bisher in jeder Version vorhanden war.

[Captnemo]

Ah, danke für deine schnelle Hilfe.