Code Signing Zertifikat für Einzelpersonen

[RWarnecke]

Hallo zusammen,

ich benötige einen Anbieter, der mir ein Code Signing Zertifikat ausstellt für einen Einzelperson, damit ich EXE, DLL und MS-Office VBA Projekte signieren kann. Ich habe keine Firmennamen registriert oder eine DUNS-Nummer.

Kann mir hier jemand einen kostengünstigen Anbieter empfehlen, am besten mit einer vorherigen Testphase des Zertifikats ? Ich will ja nicht die Katze im Sack kaufen.

[Uwe Raabe]

Ich habe meins von K software.

[karlkoch]

Hallo,

für K Software/Comodo wird eine DUNS-Nummer benötigt. Diese kann aber auch von Einzelpersonen kostenlos beantragt werden, z.B. auf upik.de. Als Firmennamen dient dann dein normaler Name, der dann auch in der Code-Signatur als "Verifizierter Herausgeber" erscheint.

Ich verwende seit Jahren ebenfalls K Software, eine "Testphase" gibt es da nicht, habe aber auch noch nie Probleme mit der Signierung gehabt.

[Uwe Raabe]

Zitat:

Zitat von karlkoch (Beitrag 1363433)

für K Software/Comodo wird eine DUNS-Nummer benötigt.

Das war bei mir nicht der Fall. Dafür musste ich meine Existenz von einem Notar beglaubigen lassen. Das liegt jetzt aber auch schon ca. ein Jahr zurück.

[karlkoch]

Zitat:

Zitat von Uwe Raabe (Beitrag 1363439)

Das war bei mir nicht der Fall. Dafür musste ich meine Existenz von einem Notar beglaubigen lassen. Das liegt jetzt aber auch schon ca. ein Jahr zurück.

Vor einem Jahr hat bei mir auch noch ein Telefonbucheintrag genügt, als ich jedoch vor etwa einem Monat eine neue Signatur angefordert habe, hat Comodo das nicht mehr durchgehen lassen und auf eine DUNS-Nummer bestanden. Wahrscheinlich hängt das bei denen auch von der Einstellung des "Bearbeiters" ab.

[Uwe Raabe]

Zitat:

Zitat von karlkoch (Beitrag 1363451)

Vor einem Jahr hat bei mir auch noch ein Telefonbucheintrag genügt, als ich jedoch vor etwa einem Monat eine neue Signatur angefordert habe, hat Comodo das nicht mehr durchgehen lassen und auf eine DUNS-Nummer bestanden. Wahrscheinlich hängt das bei denen auch von der Einstellung des "Bearbeiters" ab.

Gut möglich. Für mein erstes Zertifikat vor ein paar Jahren genügte auch noch die Kopie meiner Stromrechnung.

[Rollo62]

Denke auch Duns wird benötigt. Hatte auch schonmal mit Duns Probleme.
Natürlich bei Apple.

Duns Einzelfirma reichte denen nicht musste etwas größeres sein.
Zum Glück hatte ich noch eine andere Duns.

Das ist sehr nervig und die Gebühren sind erstmal weg.
Mit Comoda habe ich auch schon Diskussionen Weiss nicht mehr genau .
Glaube es war eine zweite Alternative Telefonnummer eingetragen was denen aufgestoßen ist.

So müsste man sein Geld verdienen .

Rollo

[juergen]

Hallo,

vor ca. 3 Monaten hatte ich auch über K Software ein Zertifikat für mich als Privat/- Einzelperson gekauft.
Ich musste von 6 möglichen Personennachweisen 3 Stk. beim Notar über Face to Face beglaubigen lassen (Personalausweis, VISA-Card und Telefonrechnung mit Adresse).
Da war ich über den Aufwand doch etwas erstaunt.

Ps.:
Weiß jemand wie das ist wenn das Jahr abgelaufen ist? Muss man dann die notarielle Beglaubigung wiederholen?

[RWarnecke]

Ein kurzer Zwischenbericht, ich habe mir das Zertifikat von K-Software gekauft. Das signieren funktioniert hervorragend. Die Bestellung war auch ganz einfach und alles ist schnell über die Bühne gegangen. Voraussetzung ist, dass man eine DUNS-Nummer hat.

Zwei Verständnisfragen:

1. Was passiert genau, wenn das Zertifikat abgelaufen ist ? Startet dann mein Setup, Programm oder VBA-Makro noch ?
2. Muss ich dem Anwender zu einem Update zwingen, wenn das Zertifikat abgelaufen ist ? (Egal ob Setup, Programm oder VBA-Makro)

[Uwe Raabe]

Zitat:

Zitat von RWarnecke (Beitrag 1364666)

Was passiert genau, wenn das Zertifikat abgelaufen ist ? Startet dann mein Setup, Programm oder VBA-Makro noch ?

Solange du beim Zertifieren einen TimeStamp (bei Verwendung von kSign bereits enthalten) mit gibst, ist das Zertifikat erstmal unbegrenzt gültig.

Zitat:

Zitat von RWarnecke (Beitrag 1364666)

Muss ich dem Anwender zu einem Update zwingen, wenn das Zertifikat abgelaufen ist ? (Egal ob Setup, Programm oder VBA-Makro)

siehe oben

[a.def]

Ich möchte mich so langsam auch mal mit diesem Thema auseinandersetzen.
Angenommen ich kaufe ein solches Zertifikat bei K-Software für $84. Wie lange gehört dieses Zertifikat mir, wie lange kann ich meine Exen damit signieren?

Edit
hat sich geklärt. Wird mir leider zu teuer :(

[hoika]

Hallo,
84€ für ein Jahr sind zu teuer?
Das sind 7€ pro Monat.

[generic]

Zitat:

Zitat von Uwe Raabe (Beitrag 1364676)

Zitat:

Zitat von RWarnecke (Beitrag 1364666)

Was passiert genau, wenn das Zertifikat abgelaufen ist ? Startet dann mein Setup, Programm oder VBA-Makro noch ?

Solange du beim Zertifieren einen TimeStamp (bei Verwendung von kSign bereits enthalten) mit gibst, ist das Zertifikat erstmal unbegrenzt gültig.

Ich würde das etwas anders definieren.

Das Zertifikat ist so lange gültig, wie es gekauft wurde.

Die Signatur ist endlos lange gültig, wenn eine Timestamp Signatur durchgeführt wurde.
Die Signatur ist so lange wie das Zertifikat gültig, wenn KEINE Timestamp Signatur durchgeführt wurde.

[a.def]

Zitat:

Die Signatur ist endlos lange gültig, wenn eine Timestamp Signatur durchgeführt wurde.

Heißt also ich kann mir ein Zertifikat für 1 Jahr kaufen und es ist 10 Jahre gültig wenn ich den Timestamp auf in 10 Jahren setze?

[bnreimer42]

Ich glaube nicht ganz so.

Ich habe es so verstanden, dass wenn man beim Signieren den Zeitstempel-Dienst nutzt das Zertifikat unbegrenzt validierbar ist. Man kann aber kein Verfallsdatum festlegen.

Du kannst aber nur so lange signieren, wie das Zertifikat gültig ist.

[a.def]

Also jedes Jahr neukaufen nehme ich an?
Finde ich, ist schon ein recht teures Vergnügen... nur, damit in Windows angezeigt wird, dass das Programm "sicher" ist.

[Uwe Raabe]

Zitat:

Zitat von a.def (Beitrag 1370066)

Also jedes Jahr neukaufen nehme ich an?
Finde ich, ist schon ein recht teures Vergnügen... nur, damit in Windows angezeigt wird, dass das Programm "sicher" ist.

Ja, das Zertifikat musst du jedes Jahr neu kaufen (oder gleich für mehrere Jahre), wenn du regelmäßig deine Programme signieren willst. Die ca. 80 € pro Jahr würde ich allerdings nicht wirklich als teures Vergnügen bezeichnen. Diesen ersten Eindruck beim Installieren sollte man nicht unterschätzen.

[hoika]

Hallo,

Zitat:

nur, damit in Windows angezeigt wird, dass das Programm "sicher" ist

Nicht ganz, einige Virebscanner bringen bei Delphi-Programmen gern mal eine Trojaner-Warnung.
Durch das Signieren wird der Compiler oder der angemeckerte Delphi-Code verschleiert,
zumindestens bekommen wir keine False-Positive-Meldungen unserer Kunden mehr.

[a.def]

Welche Kosten könnten denn auf eine Privatperson für die erstmalige Beantragung eines Zertifikates für 1 Jahr zukommen?
Denn da wäre ja noch der Herr Notar und und und.

[Uwe Raabe]

Zitat:

Zitat von a.def (Beitrag 1370073)

Welche Kosten könnten denn auf eine Privatperson für die erstmalige Beantragung eines Zertifikates für 1 Jahr zukommen?
Denn da wäre ja noch der Herr Notar und und und.

Die Kosten für das Zertifikat siehst du ja in der Preisliste. Da gibt es auch Rabatte für mehrere Jahre (z.B. 4 Jahre bei k-Software sind gut 60 € pro Jahr).
Der Notar hat für die Face-to-Face Aktion ca. 60 € berechnet, aber das braucht man nur beim ersten Mal (sozusagen als Beweis, daß du der bist, der du vorgibst zu sein). Da solltest du aber vorsichtshalber beim Notar deines Vertrauens nochmal nachfragen, was der so dafür berechnet.
Bei einer Verlängerung sind dann nur die aktuellen Dokumente vorzuweisen. Den Notar brauchst du dann nicht mehr.

[RWarnecke]

Zitat:

Zitat von a.def (Beitrag 1370073)

Welche Kosten könnten denn auf eine Privatperson für die erstmalige Beantragung eines Zertifikates für 1 Jahr zukommen?
Denn da wäre ja noch der Herr Notar und und und.

Ich habe es auch das erste mal gemacht. Ich habe jetzt kein Notar benötigt. Das einzige was ich machen musste, war eine D-U-N-S Nummer beantragen und das gibt es kostenlos über verschiedene Seite, wie z.B. auf upik.de.

[a.def]

Hast du dein Zertifikat auch bei K-Software gekauft? Und bist du eine Privatperson?

[Michael II]

Ich konnte mein zweites Zertifikat (5 Jahre gültig) bei k-software als Privatperson (da keine eingetragene Firma) kaufen. Das war 9/2014. Du solltest einfach - wie an anderer Stelle erwähnt - darauf achten, dass die notarielle Beglaubigung mind. auch so ausgeführt wird wie der Aussteller es will. (Zum Beispiel hier im Kanton Bern werden Dokumente vom Notar anders gestempelt als im comodo Land.)

[a.def]

Wenn die notarielle Beglaubigung 60€ kostet, dann kommt für mich ein Zertifikat eh nicht mehr in Frage :stupid:

[Uwe Raabe]

Zitat:

Zitat von a.def (Beitrag 1370105)

Wenn die notarielle Beglaubigung 60€ kostet, dann kommt für mich ein Zertifikat eh nicht mehr in Frage :stupid:

Nebenbei bemerkt: ein Express-Reisepass kostet immerhin auch 91€ und ist nur 10 Jahre gültig!

Aber es muss halt jeder selbst wissen, ob es ihm das Wert ist.

[a.def]

Für das Zertifikat bezahle ich gerne 80€ jährlich. Was mich nur stört sind diese unglaublich horrenden, notariellen Kosten.
Ich gucke mal. Vielleicht finde ich einen Notar der günstiger ist.

[himitsu]

Zitat:

Zitat von a.def (Beitrag 1370107)

Ich gucke mal. Vielleicht finde ich einen Notar der günstiger ist.

wie werde ich notar

[nahpets]

Wenn ich das hier richtig mitbekommen habe, benötigst Du eine Beglaubigung.

Die kannst Du von jeder siegelführenden Stelle bekommen.

Hierzu gehören auch Pfarrämter. Und die nehmen dafür gewöhnlich nichts (außer eventuell einer Spende, über deren Höhe man selbst entscheidet). Eventuell könnte das ja für Dich eine Option sein.

Hier https://de.wikipedia.org/wiki/Beglaubigung findest Du eine recht große Aufstellung der "passenden" Stellen, die je nach Bundesland unterschiedlich sein können.

Gemeindeverwaltung, Landkreis, Polizei, Sparkassen ...

Eventuell findest Du ja eine kostengünstigere Alternative.

[RWarnecke]

Zitat:

Zitat von a.def (Beitrag 1370091)

Hast du dein Zertifikat auch bei K-Software gekauft?

Ja

Zitat:

Zitat von a.def (Beitrag 1370091)

Und bist du eine Privatperson?

Ja

[Rollo62]

Weiss jemand ob PostIdent auch akzeptiert wird ?
Das wird zumindest bei vielen Banken als Identitätsprüfung akzeptiert, sollte
für Apps also auch reichen.

Aber wie stellt man bei Comodo/K-Software den ein welches Verfahren man möchte (Notar, PostIdent, etc. ) ?
Bei mir wollten die sich nur telefonisch melden, und denen stiess auf das ich hier mehrere Telefonnummern hatte.
Ich fand das ganze sehr blöd, und wäre gerne zum Notar gegangen, aber es gab nur Formschreiben ohne das man wirklich
etwas hätte ändern können.
Das scheint Alles sehr automatisiert abzulaufen, und Sonderdinge fallen eben unter den Tisch.

Rollo

[a.def]

Wäre auch nicht schlecht wenn man all das wüsste, bevor man das Zertifikat letzten Endes bezahlt.
Dann kann man nämlich direkt sagen "Ok, will ich" oder "Nee, den Stress tue ich mir nicht an".

[Uwe Raabe]

Das findet man aber doch bei K-Software im Support Center:

What are the requirements to obtain a code signing certificate?.

Die Anleitung zur sogenannten "face to face" verification ist dort auch verlinkt: Face to Face for OV and Code Signing

Der Notar oder wer auch sonst immer das beglaubigt sollte allerdings des Englischen mächtig sein.

[Rollo62]

Hallo Uwe,

super, das kannte ich noch nicht.
Face-to-Face, was die da alles wissen wollen.

Und bei uns regen sich die Mieter auf wenn sie die Arbeitsstelle angeben müssen.
Da muss man sich wohl das kleinere Übel auswählen.

Rollo

[a.def]

Zitat:

Recent original Phone utility bill showing your name, address and phone number (not a mobile/cellular telephone bill)

Und wenn man keinen Festnetz-Telefonanschluss hat, so wie ich? :stupid:

Jedenfalls ist das so kompliziert, dass ich selber es nun definitiv sein lasse. Die wollen viel zu viel wissen und außerdem muss man erst einmal durch deren PDF durchblicken.
Da ist ja eine Steuererklärung noch einfacher.

Was ist denn mit psw-group.de. Verlangen die auch so einen Zirkus?

[Rollo62]

Ich hab schon überlegt, wollen wir nicht selber ein TrustChenter aufmachen ?
Das scheint eine Goldgrube und die Lizenz zum Geld drucken zu sein :-D

Rollo

[a.def]

Was mir bei dieser Verifizierung aufstößt ist, dass Notare und Anwälte als Heilige, Unschuldige dargestellt werden. Aber speziell Anwälte sind alles andere als Unschuldig. Beide Typen Mensch sind auch nicht Heilig. Jeder Mensch ist irgendwo kriminell.

[himitsu]

Warum nehmen die nicht unser supercooles DE-Mail als Verifizierung an? :stupid:

[CCRDude]

Bis heute habe ich mich auch auf Timestamping verlassen, hatte noch ein StartSSL-Zertifikat. Allerdings funktioniert das nicht zwingend so beliebig, wie erwartet.

StartSSL code signing certificates are crippled

Zitat:

Not all publisher certificates are enabled to permit timestamping to provide indefinite lifetime. If the publisher’s signing certificate contains the lifetime signer OID (OID_KP_LIFETIME_SIGNING 1.3.6.1.4.1.311.10.3.13), the signature becomes invalid when the publisher’s signing certificate expires, even if the signature is timestamped. This is to free a Certificate Authority from the burden of maintaining Revocation lists (CRL, OCSP) in perpetuity.

Bei StartSSL ist das nicht gesetzt, bei Comodo schon. Vielleicht könnte ein K-Software Kunde prüfen, wie das bei diesen wiederverkauften Zertifikaten ist?

[Michael II]

Bei meinem comodo Zertifikat via k-software gekauft lese ich die OID: {iso(1) identified-organization(3) dod(6) internet(1) security(5) mechanisms(5) pkix(7) kp(3) codeSigning(3)}

Beim von dir verlinkten Beispiel {iso(1) identified-organization(3) dod(6) internet(1) private(4) enterprise(1) 311 10 3 13} Extended key usage used by Microsoft Authenticode to limit the lifetime of the code signature to the expiration of the code signing certificate (szOID_KP_LIFETIME_SIGNING)

Hoffe das hilft :-)


Und jetzt habe ich noch rasch aus meinen Backups eine alte Setup.exe ausgegraben, welche mit einem 2012 abgelaufenen Zertifikat signiert ist. Windows motzt nicht - die übliche blaue "Herausgeber ..." Meldung erscheint. Alles i.O.

[CCRDude]

Hmmm... ich hoffe ich verstehe Dich richtig :)

Bei mir mit StartSSL steht beispielsweise drin (Dateieigenschaften - Tab Digital Signatures - Button Details - Tab General - Button View Certificate - Tab Details - Listbox Enhanced Key Usage):

Code:

Code Signing (1.3.6.1.5.5.7.3.3)
Lifetime Signing (1.3.6.1.4.1.311.10.3.13)

Bei Dir steht da also nur:

Code:

Code Signing (1.3.6.1.5.5.7.3.3)

Richtig?

Überlegen hier gerade ob jetzt Comodo/K-Software oder gleich DigiCert EV...