Zertifikat und der Computer wurde durch Windows geschützt

[Kahru]

Hallo Zusammen,

unsere User bekommen bei einer Anwendung, die wir im Internet anbieten nach dem Download immer die Meldung dass der Computer durch Windows geschützt wurde. Ich habe dann testweise mal ein HelloWorld.exe signiert und das zum Download auf unseren Server gelegt um zu prüfen ob es an unserer Software liegt. Da passiert dasselbe. Signiert ist das Ganze mit einem gültigen Zertifikat von Sectigo. Erstellt wurde die Anwendung mit Delphi XE5. Signiert wird das Ganze in einer bat-Datei mit folgenden Aufruf

Code:

"C:\Program Files (x86)\Windows Kits\10\App Certification Kit\signtool.exe" sign /f xxx.pfx /p <password> /fd SHA256 /tr http://timestamp.comodoca.com /a /td sha256 /v /debug c:\xxx\HelloWorld.exe

Codesign meldet beim Zertifizieren keine Fehler. Passt denn eurer Ansicht nach der Aufruf?

Bernd

[hhcm]

Was passiert denn, wenn der Benutzer ein Zip-File anstatt eine exe runterlädt?
Natürlich muss das Zip-File dann noch entpackt werden.

[generic]

Im Eigenschaften-Dialog der Datei, da die Checkbox geklickt?
Anhang 51865

[Kahru]

@hhcm: Da passiert dasselbe

@generic: Die Meldung klickt doch der Kunde auch nicht. Das steht nur in der gedownloadeten Datei. Im Upload ist das so nicht zu sehen.

[Codehunter]

Ich seh da was von Comodo. Zuletzt wurden doch einige Comodo-Stammzertifikate von Google (Chrome) revoked. Möglicherweise hat da Microsoft jetzt nachgezogen?

[hoika]

Hallo,

Zitat:

dass der Computer durch Windows geschützt wurde

Wie sieht denn die Meldung konkret aus (Screenshot) ?

Prinzipiell kommt doch immer bei einer Datei aus dem Internet eine Warnung.
Bei signierten Dateien steht immerhin der Hersteller und nicht "unbekannte Quelle" drin.

[hhcm]

Zitat:

Zitat von hoika (Beitrag 1452140)

Prinzipiell kommt doch immer bei einer Datei aus dem Internet eine Warnung.
Bei signierten Dateien steht immerhin der Hersteller und nicht "unbekannte Quelle" drin.

Sehe ich auch so. Das ist der Defender Smartscreen. Wenn die Datei ohne Signatur kommt, muss man erst auf "Weitere Informationen" klicken um die Datei trotzdem zu öffnen. Bei Signierten Dateien steht im normalfall der Herausgeber im Screen und der Button "Trotzdem ausführen" ist direkt verfügbar.

[Frickler]

Unter Windows 10 reicht ein herkömmliches Zertifikat nicht mehr aus, um als vertrauenswürdig zu gelten. Da braucht man ein "EV-Zertifikat".

[Bernhard Geyer]

Zitat:

Zitat von Frickler (Beitrag 1452144)

Unter Windows 10 reicht ein herkömmliches Zertifikat nicht mehr aus, um als vertrauenswürdig zu gelten. Da braucht man ein "EV-Zertifikat".

Für "normale" Anwendungen reicht das normale Zertifikat immer noch.
Nur für Dienste und Co. ist mehr nötig.

[Kahru]

Also ich habe mir gestern diverse andere Software angesehen und die zeigt die Meldung in Win 10 nicht. Also Innosetup 6.0.3 z.B. zeigt keine solche Meldung :wink:

Woran sehe ich denn dass es eine EV-Zertifikat ist?

@bernhard: "HelloWorld" ist aber eine "normale" Anwendung, oder?

[Codehunter]

Zitat:

Zitat von Kahru (Beitrag 1452147)

Woran sehe ich denn dass es eine EV-Zertifikat ist?

Am Preis? :wink: (Privatpersonen können IMHO gar keine beziehen)

Die meisten EV sind doch inzwischen mit einem kryptografischen USB-Token verbunden. Hast du keins, ist es wohl auch kein EV ^^

Wobei ich persönlich EV für reines Schlangenöl ohne praktischen Mehrwert halte.

[Kahru]

Hallo,

@hoika, @hhcm: Wenn man auf trotzdem ausführen klickt kommt die Meldung mit dem korrekten Herausgeber. Das ist ja genau das was mich irritiert hatte dass da alle perfekt aussieht.

Der EV-Hinweis ist wahrscheinlich die Ursache ... reine Abzocke das Ganze mal wieder :evil:

Im Anhang ist noch eine Erläuterung von LeaderSSL dazu. Naja 3000 Downloads wird meine Spezialanwendung in dem Jahrtausend wohl nicht mehr schaffen 8-)

[Codehunter]

Und deine CA muss außerdem noch Microsoft-Partner sein, andernfalls würde dir auch das tollste EV nichts nutzen. Ein Schelm wer Böses dabei denkt...

Ab morgen Neu bei der Tankstelle: Benzin nur noch für Autos von Herstellern, die ihr Schmierfett beim selben Ölkonzern beziehen.

Ich wäre ja dafür, eine öffentliche Zertifizierungskette aufzubauen. Dann hätte der ePerso wenigstens einmal einen praktischen Nutzen. Alles andere hat für mich immer das Geschmäckle von gekauftem Vertrauen.

[Michael II]

Hallo

ich verwende auch ein "günstiges" Zertifikat von Sectigo für ein "Windows Spiel" und es funktioniert problemlos.

Im Herbst musste ich nach Ablauf des bisherigen Zertifikats ein neues kaufen; die von dir zitierte Warnung wurde nach dem Wechsel des Zertifikats nur bei einigen wenigen Spielerinnen/Spielern angezeigt; nach drei Tagen war sie überall weg.

Und in den drei Tagen gab's ganz sicher nicht 3000 Downloads ;-).

Was sicher hilft ist, wenn du den "Publisher Namen" des Zertifikats nie wechselst, wenn es deine Download Webseite längere Zeit gibt, deine Software oft genutzt wird und dabei auch immer lieb ist.

Zum Thema Reputation gibt's viele Tipps im Netz.

( Wenn du dein Spiel nur für Windows vertreibst, dann könntest du auch via Microsofts Store... - dort bist du die Zertifikat Sorge los. )