Eigene Anwendungen digital signieren - eine Mini-Einführung

[Achim Kalwa]

Hallo Hans,

brauchst Du das, um Deine Programme für Vista fit zu machen?

Zitat:

Zitat von Gruber_Hans_12345

Ob Schwachsinn oder nicht, wenn man kommerziell Geld mit Programmen verdient, dann kann man schon mal etwas Geld ausgeben, damit der Benutzer zumindest sicherstellen kann, das dieses Programm von meiner Firma kommt, und da die benutzer mir trauen, wissen die dann zumindest, aha, das kann ich ohne probleme ausführen.

Genau dafür ist die Signierung des Codes gedacht. Der Anwender soll bei der Installation des Programmes unter Vista (und künftigen Windows-Versionen) nicht gleich einen Schreck eingejagt bekommen: "Ein unbekanntes Programm versucht auf den Computer zuzugreifen".

Zitat:

Zitat von Gruber_Hans_12345

Nur bin ich mir noch nicht sicher, ob man diese billigen von http://www.ksoftware.net/code_signing.html auch verwenden kann, oder ob man dann später mal drauf kommt, wäre doch eines von verisign besser gewesen

Ich habe die Beispieldatei http://www.ksoftware.net/digital_signature_example.exe heruntergeladen; unter Vista Business SP1(RC1) Rechtsklick->Eigenschaften->Digitale Signaturen; es wird angezeigt:

Code:

Name des Signaturgebers: K Software
E-Mail-Adresse:          [email][e-mail][/email]
Zeitstempel:             Montag, 2. November 2007 01:01:02

Unter "Details"->"Zertifikat anzeigen" erfährt man:

Code:

Dieses Zertifikat ist für die folgenden Zwecke beabsichtigt:
- Garantiert, dass die Software von einem Software-Herausgeber stammt
- Schützt die Software vor Änderungen nach der Veröffentlichung.

Ausgestellt für: K Software
Ausgestellt von: UTN-USERFirst-Object
Gültig ab 26.10.2007 bis 26.10.2008

Alles in Allem sieht das genau so wie die Daten bei einem Zertifikat von Verisign (hab ich auf der Arbeit). Ob das unter künftigen Windows-Versionen noch genau so ist, kann Dir vermutlich nur Microsoft sagen.

Ich hab' dann mal mit einem Hex-Editor ein Byte im Header modifiziert.
Das Programm kann noch immer gestartet werden, jedoch ergibt die Überprüfung des Zertifikates:
"Die digitale Signatur ist ungültig."
Hier hätte ich mir gewünscht, dass Vista bereits beim Start den Anwendung auf diesen Umstand hinweist. Aber das ist wohl nicht der Firma K Software anzulasten, sondern eher Microsoft.

HTH
Achim

[STS301]

hi

ich habe bein Problem beim öffnen der makecert.exe, wenn ich es öffne schließt es sich sofort wieder, und ich finde nur das SDK 1.1, im Verzeichnis Microsoft.Net finde ich nur das 1.1er obwohl(siehe Anhang) ich 2.0 und 3.0 auch installiert habe, was stimmt da nicht??

[Achim Kalwa]

Hallo,

Zitat:

Zitat von STS301

ich habe bein Problem beim öffnen der makecert.exe, wenn ich es öffne schließt es sich sofort wieder, und ich finde nur das SDK 1.1, im Verzeichnis Microsoft.Net finde ich nur das 1.1er obwohl(siehe Anhang) ich 2.0 und 3.0 auch installiert habe, was stimmt da nicht??

Im Screenshot links ist vermutlich ein Ausschnitt der installieren Software-Pakete zu sehen (Systemsteuerung). Dort ist ja das .NET SDK 2.0 gelistet. Ist es denn auch installiert?
Schon mal "reparieren" versucht? Bzw. de-installieren und neu installieren?

KalwaDOS

[STS301]

mit reparieren hab ich es jetzt versucht, hat sich aber nichts geändert, ich lade es mir jetzt noch einma herunter und versuche es dann noch einmal.

kann mir wer das Problem mit dem makecert.exe erklähren (siehe voriger Beitrag)

[Achim Kalwa]

Zitat:

Zitat von STS301

kann mir wer das Problem mit dem makecert.exe erklähren (siehe voriger Beitrag)

MakeCert ist ein Kommandozeilenprogramm. Da geht nix auf. Du hast vermutlich einfach im Explorer einen Doppelklick darauf gemacht. Öffne eine Eingabeaufforderung und folge den Beispielen am Anfang dieses Threads.

HTH
KalwaDOS

[Gruber_Hans_12345]

Zitat:

Zitat von kalwados

Hallo Hans,
brauchst Du das, um Deine Programme für Vista fit zu machen?
Genau dafür ist die Signierung des Codes gedacht. Der Anwender soll bei der Installation des Programmes unter Vista (und künftigen Windows-Versionen) nicht gleich einen Schreck eingejagt bekommen: "Ein unbekanntes Programm versucht auf den Computer zuzugreifen".

Ja sozusagen, es sieht beim Windows Server, und nun auch beim Vista Client, einfach doof aus, wenn man ein kommerzielles Progrmam verkauft, das zig tausend euro kostet, und dann kommt dieses "unbekannter herausgeber" -> möchte es einfach in dieser hinsicht etwas professioneller haben.

Nur bin ich mir noch nicht ganz sicher, ob sich die mehr investition von VeriSign lohnt oder eher nicht.

[Gruber_Hans_12345]

Soooooooo, habe mir jetzt mal so ein Teil von Comodo bzw K-Software geholt.

Hat zwar etwas gedauert, bis ich das Zertifikat aus dem Firedox raus, dann in den IE rein, und dann mit openSSL ein .spc und .pvk DAtei erzeugt habe.
Aber nun kann ich mit signCode, meine exe Anwendungen signieren ...

eine Frage habe ich noch, weiß jemand einen Weg, wie ich mir das sparen kann, das ich jedes mal das Passwort eingeben muß beim signieren?

Ich möchte gerne das ganze automatisieren, und da stört diese Eingabe etwas ...

(Weiss auch jemand, ob es das signTool irgnedwo zum runterladen gibt, ohne gleich alles von MSDN zu laden?)

[xZise]

Zitat:

Zitat von Gruber_Hans_12345

[...]eine Frage habe ich noch, weiß jemand einen Weg, wie ich mir das sparen kann, das ich jedes mal das Passwort eingeben muß beim signieren?

Ich möchte gerne das ganze automatisieren, und da stört diese Eingabe etwas ...[...]

Ich würde mich freuen, dass ein Passwort angegeben werden muss.
So nützt ein Schädling die Datei nichts, und kann nichts in deinem Namen signieren.

MfG
xZise

[Gruber_Hans_12345]

Zitat:

Zitat von xZise

Zitat:

Zitat von Gruber_Hans_12345

[...]eine Frage habe ich noch, weiß jemand einen Weg, wie ich mir das sparen kann, das ich jedes mal das Passwort eingeben muß beim signieren?

Ich möchte gerne das ganze automatisieren, und da stört diese Eingabe etwas ...[...]

Ich würde mich freuen, dass ein Passwort angegeben werden muss.
So nützt ein Schädling die Datei nichts, und kann nichts in deinem Namen signieren.

MfG
xZise

Es kann ja ein Passwort angegeben werden, nur sollte dieses halt auch als Parameter angegeben werden können.

Bei mir, werden bei Bedarf exe Datein erzeugt, sind 7Zip komprimierte Dateien, diese werden vollautomatisch erzeugt, auf einen Webserver geladen, und anschließend kann es sich der kunde dann runterladen, und diese würde ich auch gerne signieren, wenn schon denn schon ..., nur dazu muß der signierungsprozess vollautomatisch ablaufen können.

[Gruber_Hans_12345]

Also, ich verwende im Moment das hier http://www.stephan-brenner.com/?page_id=9 ... ist zwar keine schöne Lösung, aber es funktioniert fürs erste
muß dann später mal schauen, was passiert, wenn ich das ganze aus einem Dienst heraus starte ...

[rakekniven]

Zitat:

Zitat von Flocke

Hier hab' ich einen schönen Artikel dazu gefunden.

Ganz unten im Artikel wird auf "X2Net SignCode" verwiesen. Hat jemand Erfahrung mit X2Net SignCode und kann davon berichten?

Gruß

[msickel]

Hallo,

hab das auch mal versucht und alles wurde ohne Fehler ausgeführt. Allerdings kommt nun wenn ich die Applikation starte das das Programm gecracked sei, woran kann das liegen?

Betriebssystem Win 7 / Delphi 2010

Martin



Fehler gefunden, hat sich erledigt!

[RalphBauer]

Hallo!

Ich wärme mal dieses Thema auf. :)

Es gibt ein kleines Problem mit dem Signieren. Ich verwende Windows 7 Ultimate 64 Bit Deutsch.

Ich möchte eine Anwendung signieren, welche keine Administratorrechte braucht.
Jetzt ist es jedoch so, dass NACH der Signierung der Anwendung das Programmicon verändert ist (dieses UAC Schild zwecks Adminrechten) und wenn man das Programm startet auch dieser UAC Dialog hochkommt und sich der Bildschirm verdunkelt. Also nach der Signierung ist die Anwendung auf einmal gefährlich, will "Änderungen an diesem Computer" vornehmen und braucht plötzlich Adminrechte.

Soll das denn so sein? Kann man da irgendwo noch einen Parameter beim Signieren setzen, dass das Programm als normaler User laufen kann - ganz ohne Adminrechte?

Viele Grüße,
Ralph

[Thomas Feichtner]

Hallo,

ich signiere grade mein Programm mit folgender Routine.

Code:

Signtool sign /f pfxdatei.pfx /p passwort /tr http://tsa.starfieldtech.com /td SHA256 MeinProgramm.exe

Wie kann ich hier noch die E-Mail einfügen?

Anhang 42492

[rapante]

Hy,
imho muss das mit ins Zertifikat...

Ich glaube so ging das:

Code:

makecert -pe -n "CN=My SPC,E=email@domain"

[Thomas Feichtner]

Danke für die Info

werde ich testen.

[Captnemo]

Hi,

wenn man den beiden Links im Eröffnungsthread folgt, kommt man auf die Beschreibung im MSDN vom Framework 2.0 SDK.
Sind diese beiden Tools nur in diesem SDK vorhanden, oder könnte bzw. sollte man das Windows Framework SDK 4.0 für, wie im meinem Fall, Windows 8 nehmen? Bzw. sind diese Tools auch in dem SDK vorhanden?

[Daniel]

Moin,

laut diesem MSDN-Artikel ist das Tool z.B. auch im SDK des .NET-Frameworks 4.5 vorhanden. Ich denke, dass man annehmen kann, dass es bisher in jeder Version vorhanden war.

[Captnemo]

Ah, danke für deine schnelle Hilfe.