сертификат для подписания кода

Code Signing в Windows, просто и недорого

Хотел бы рассказать тут о такой важной особенности разработки под Windows как Code Signing. А ведь многие достаточно серьёзные разработчики до сих пор ей не пользуются, и очень зря. Помимо того что при запуске вашего неподписанного приложения появляется противная красная иконка с крестом и неприятным текстом:
«Этот файл не имеет цифровой подписи которая может подтвердить производителя. Вы должны запускать программы только от производителей которым доверяете.»
Это ещё и пропуск на корпоративный рынок.

При запуске неподписанной программы появляется такое окно:

А так выглядит окно когда программа подписана:

Один важный момент, прежде чем получать сертификат, очень желательно зарегистрировать вашу компанию или ИП в агенстве Dun & Bradstreet и получить DUNS номер. Этот номер очень уважается компаниями которые выдают сертификаты и при предъявлении этого номера, в абсолютном большинстве случаев, более никаких подтверждающих документов не спрашивают. Иначе придётся высылать сканы уставных документов, а иногда и каких-нибудь счетов на компанию, например за телефон. Для получения сертификата на ИП это один из главных шагов. Без этого в случае ИП может вообще ничего не получиться.

Сам процесс подписания программы/инсталлятора достаточно простой и легко автоматизируется, если надо могу описать и его.

Вот собственно и всё. Если вы работаете на рынке программного обеспечения для windows — сертификат это важная и необходимая вещь. Я надо признать и сам стал избегать неподписанных программ после этого.

Источник

Что такое сертификат подписи кода?

Сертификат подписи кода — это цифровой сертификат, содержащий информацию, полностью идентифицирующую издателя, и выпущенный центром сертификации, например центром сертификации GlobalSign. Цифровой сертификат связывает личность издателя (человека или компании) с открытым ключом, который математически связан с парным закрытым ключом. Система использования пар открытых и закрытых ключей называется инфраструктурой открытого ключа (Public Key Infrastructure — PKI). Разработчик подписывает код своим закрытым ключом, а конечный пользователь использует открытый ключ разработчика для подтверждения его подлинности.

Сертификат для подписи кода

Цифровой сертификат предназначен специально для подписи кода; в инфраструктуре PKI это называется «назначением ключа» (Key Usage). Ниже представлен пример цифрового сертификата GlobalSign, предназначенного для подписи кода.

При использовании цифровой подписи также устанавливается временная метка. Благодаря функции установки временной метки подписанный код остается действительным даже после окончания срока действия цифрового сертификата. Подписывать код заново требуется лишь в случае, если вы дополнили его или изменили каким-то другим образом. В остальных случаях новая подпись не нужна (даже если истек срок действия сертификата, которым изначально был подписан код).

Подпись кода подтверждает:

Источник содержимого:
Подпись кода помогает определить источник (разработчика или владельца подписи) программного обеспечения или приложения. При скачивании программного обеспечения из интернета в браузере, как правило, появляется сообщение о рисках, связанных со скачиванием данных, либо предупреждение «Неизвестный издатель». Подпись кода помогает устранить предупреждения безопасности «Неизвестный издатель» и определить имя издателя (например наименование организации или имя индивидуального разработчика).

Целостность содержимого
Подпись кода — это гарантия того, что код не подвергался изменениям с момента издания, а также способ определить его надежность в конкретной ситуации. Если код приложения или программного обеспечения подвергся изменениям после проставления цифровой подписи, подпись становится недействительной, а пользователю сообщается о ненадежности программы. Подпись кода дает преимущества не только пользователям, скачивающим приложения, но и самим разработчикам. Пользователи уверены в источнике программного обеспечения и могут самостоятельно решать, доверять ему или нет. Разработчики же поддерживают хорошую репутацию бренда и защищают свое программное обеспечение от нежелательных изменений.

Источник

Создание сертификата для подписи пакета приложения

MakeCert.exe не рекомендуется к использованию. Текущие рекомендации по созданию сертификата см. в разделе Создание сертификата для подписания пакета.

узнайте, как использовать MakeCert.exe и Pvk2Pfx.exe для создания тестового сертификата подписи кода, чтобы вы могли подписывать пакеты приложений Windows.

перед развертыванием пакетной Windows приложения необходимо подписать цифровой подписью. если вы не используете Microsoft Visual Studio 2012 для создания и подписи пакетов приложений, необходимо создать собственные сертификаты для подписи кода и управлять ими. сертификаты можно создавать с помощью MakeCert.exe и Pvk2Pfx.exe из набора драйверов Windows (WDK). Затем можно использовать сертификаты для подписывания пакетов приложений, чтобы их можно было развернуть локально для тестирования.

Это важно знать

Технологии

Предварительные требования

Инструкции

Шаг 1. Определение имени издателя пакета

чтобы сделать сертификат подписи, который вы создадите, использовать с пакетом приложения, который необходимо подписать, имя субъекта сертификата подписи должно соответствовать атрибуту Publisher элемента Identity в AppxManifest.xml для этого приложения. Например, предположим, что AppxManifest.xml содержит:

Эта строка параметра указывается в кавычках и является учетом регистра и пробела.

Шаг 2. создание закрытого ключа с помощью MakeCert.exe

Используйте служебную программу MakeCert для создания самозаверяющего тестового сертификата и закрытого ключа:

Эта команда предложит указать пароль для PVK-файла. Рекомендуется выбрать надежный пароль и защитить закрытый ключ в безопасном месте.

Рекомендуется использовать предлагаемые параметры из предыдущего примера по следующим причинам.

Создает самозаверяющий корневой сертификат. Это упрощает управление тестовым сертификатом.

Помечает базовое ограничение для сертификата как конечную сущность. Это предотвращает использование сертификата в качестве центра сертификации (ЦС), который может выдавать другие сертификаты.

Задает значения расширенного использования ключа (EKU) для сертификата.

Не ставьте пробел между двумя значениями, разделенными запятыми.

Задает дату окончания срока действия сертификата. Укажите значение параметра expirationDate в формате мм/дд/гггг. Рекомендуется выбирать дату истечения срока действия, если это необходимо для целей тестирования, как правило, меньше года. Эта дата окончания срока действия в сочетании с ключом времени существования подписывания может помочь ограничить окно, в котором сертификат может быть скомпрометирован и недоступен.

Дополнительные сведения о других параметрах см. в разделе MakeCert.

шаг 3. создание файла личных данных Exchange (. pfx) с помощью Pvk2Pfx.exe

Файлы MyKey. PVK и MyKey. cer являются теми же файлами, которые MakeCert.exe созданы на предыдущем шаге. С помощью необязательного параметра/по можно указать другой пароль для результирующего PFX-файла; в противном случае PFX-файл имеет тот же пароль, что и MyKey. PVK.

Дополнительные сведения о других параметрах см. в разделе Pvk2Pfx.

Remarks

После создания PFX-файла можно использовать файл с помощью средства SignTool для подписания пакета приложения. Дополнительные сведения см. в разделе как подписать пакет приложения с помощью средства SignTool. Но сертификат по-прежнему не является доверенным для локального компьютера для развертывания пакетов приложений, пока он не будет установлен в хранилище доверенных сертификатов на локальном компьютере. Вы можете использовать Certutil.exe, который поставляется вместе с Windows.

Установка сертификатов с помощью WindowsCertutil.exe

Запустите Cmd.exe от имени администратора.

Выполните следующую команду:

Рекомендуется удалить сертификаты, если они больше не используются. В той же командной строке администратора выполните следующую команду:

CertID — серийный номер сертификата. Выполните следующую команду, чтобы определить серийный номер сертификата:

Соображения безопасности

Добавив сертификат в хранилища сертификатов локальной машины, вы меняете доверие сертификатов всех пользователей на компьютере. Рекомендуется установить все сертификаты подписи кода, необходимые для тестирования пакетов приложений в хранилище сертификатов «Доверенные лица». Немедленно удалите эти сертификаты, когда они больше не нужны, чтобы предотвратить их использование для компрометации доверия системы.

Связанные темы

Примеры

Основные понятия

How to sign an app package using SignTool (Подписывание пакета приложения с помощью SignTool)

Источник

Сертификат для подписания кода

Вы знали, что можно автоматизировать управление и продление каждого вашего сертификата?

Сертификат подписи кода с расширенной проверкой (EV CodeSigning)

Увеличивайте число загрузок, повышая лояльность пользователей

Увеличивайте число загрузок, повышая лояльность пользователей

Сертификаты подписи кода с расширенной проверкой (EV Code Signing) используют все преимущества, предоставляемые обычными сертификатами подписи кода, но обеспечивают более высокий уровень доверия к программному обеспечению, гарантируя, что информация о разработчике ПО достоверная и была проверена с особой тщательностью:

Эксклюзивная опция GlobalSign

Подписывайте неограниченное количество приложенией одним сертификатом

Доступ к превосходной службе поддержки GlobalSign

Совместимость со всеми основными платформами (Authenticode, Office VBA, Java, Adobe AIR, Mac OS, Mozilla)

Решение проблем ненадежной проверки и защиты ключа

Сертификаты подписи кода с расширенной проверкой (EV Code Signing) помогают устранить два вида уязвимостей, которыми чаще всего пользуются разработчики вредоносного ПО: ненадежные процессы проверки учетных данных и слабый уровень защиты закрытых ключей.

Мгновенное подтверждение репутации фильтром Microsoft SmartScreen

Microsoft SmartScreen анализирует данные о репутации приложения и, если о нем мало информации и оно может содержать вредоносное ПО, сообщает об этом конечным пользователям. Начиная с версий Internet Explorer 9.0 и Windows 8, приложения, подписанные сертификатом с расширенной проверкой, мгновенно получают подтверждение репутации, поэтому пользователи при загрузке не столкнутся с предупреждениями безопасности о вредоносности приложения.

Многоплатформенная поддержка

Один сертификат подписи кода GlobalSign способен одновременно поддерживать несколько платформ

Отличия сертификатов подписи кода с расширенной проверкой (EV Code Signing)

Сертификаты подписи кода с расширенной проверкой (EV Code Signing) используют все преимущества, предоставляемые обычными сертификатами подписи кода, но обеспечивают более высокий уровень доверия к программному обеспечению, гарантируя, что информация о разработчике ПО достоверная и была проверена с особой тщательностью.

Расширенная проверка организации предполагает усиленный метод верификации большего количества данных об издателе ПО, что исключает любые фальсификации.

Мгновенное подтверждение репутации с фильтром Microsoft SmartScreen устраняет предупреждения пользователям о том, что приложение может быть вредоносным.

Источник

Code Signing сертификаты или сертификаты разработчика. Виды, как выбрать

В прошлый раз мы рассматривали цифровые SSL сертификаты, в этот раз рассмотрим еще один вариант цифровых сертификатов.
Code Signing сертификаты — это сертификат, которым подписывается программное обеспечение или скрипты, который подтверждает автора программы и гарантирует, что код не был изменен, после того, как была наложена цифровая подпись. Также их еще называют сертификаты разработчика.

Итак сертификаты разработчика предоставляют нам несколько возможностей. Во-первых это механизм цифровой подписи, которая подтверждает, что программа, которой вы пользуетесь действительно выпущена той или иной компанией, то есть гарантирует подлинность источника. А во вторых гарантирует целостность содержимого, то есть, что с момента подписания программный продукт не был поврежден или изменен.

Во всех современных версиях Windows, начиная с Windows XP SP2, при установке программного обеспечения без такой цифровой подписи вы получите предупреждение. То же самое кстати касается и установки драйверов, которые не имеют соответствующей цифровой подписи.

В случае, если цифровая подпись не найдена, Windows выдаст предупреждение, что у этой программы «Неизвестный издатель» и запускать её не рекомендуется.

В случае, если программа имеет цифровую подпись, то окошко будет выглядеть иначе и вы также сможете посмотреть информацию о сертификате.

Какие бывают виды Code signing сертификатов, и чем отличаются?

Прежде всего рассмотрим сертификаты, по центрам сертификации, которые их выпускают.

Лучше всего различия между сертификатами от разных центров сертификации показывает сводная табличка.
В колонках указаны названия центров сертификации, а в в строках тип сертификата или технология/платформа для которой он используется.

стоит уточнить, что не все центры сертификации дают полную информацию о платформах, на которых работают их сертификаты, поэтому плюсом отмечены только те платформы, поддержка которых в явном виде заявлена центром сертификации.

Microsoft Authenticode

Code Signing for Apple

Позволяет разработчикам подписывать программы для Mac OS, а также обновления для программного обеспечения

Microsoft Office Vba Signing

Java Code Signing

Adobe Air Signing

Kernel Mode Signing

Сертификаты разработчика Kernel-Mode позволяют подписывать, так называемые kernel-mode приложения и драйвера устройств. 64 битная версия Windows Vista и Windows 7 требуют, чтобы все kernel-mode приложения были подписаны сертификатом и доверенного центра сертификации.

Android

Microsoft Windows Phone

Для цифровой подписи приложений для Windows Phone и Xbox 360. Требуется для сервиса Microsoft App Hub

Qualcomm BREW

Для тех, кто разрабатывает приложения под платформу BREW (Binary Runtime Environment for Wireless)

Как работает Code Signing сертификат:

Процесс подписи кода.

Процесс проверки подписанного кода.

Центр сертификации

Когда разработчик запрашивает цифровой сертификат — центр сертификации идентифицирует его и выпускает сертификат, связанный с корневым сертификатом центра сертификации. Платформы и устройства содержат в себе корневой сертификат соответствующего центра сертификации. То есть если платформа или устройство доверяет какому-либо центру сертификации, то оно доверят и вашему сертификату, подписанному этим центром сертификации.
В случае если хеши не совпадают вы получите ошибку при запуске такого ПО — это может означать, что ПО было модифицировано вирусом или злоумышленником.

Когда ПО расшифровывает цифровую подпись, оно проверяет также корневой сертификат в системе, источник проверенной информации. В случае использования самоподписного сертификата, вы получите ошибку: «издатель не может быть проверен». Поэтому важно использовать сертификаты того центра сертификации, чьи корневые сертификаты уже установлены в системе у предполагаемого пользователя программы.

О самом процессе верификации организации рассказывать не буду, так как он такой же как и для SSL сертификатов с валидацией организации, о чем мы уже говорили в прошлой статье.

Несколько слов про timestamp.

Timestamp или временная метка используется для указания времени, когда цифровая подпись была сделана. Если такая метка присутствует, то приложение, которое проверяет подпись проверит был ли сертификат, связанный с подписью валидным на момент подписи. Если же такой метки нет, и срок сертификата уже закончился, то подпись будет считаться недействительной.

Пример:
Сертификат действителен с: 01.01. 2008
Сертификат действителен до: 31.12.2010
Подпись сделана: 04.07.2009
Подпись проверена: 30.04.2012

C временной меткой (timestamp) подпись пройдет проверку, поскольку на момент подписи сертификат был действителен. Без такой метки сертификат не пройдет проверку, поскольку на момент проверки у сертификата уже закончился срок.
То есть такая метка позволяет использовать подписанный код, даже после срок окончания сертификата.

Подведем итог

Для выбора сертификата сначала нужно выбрать центр сертификации, который выпускает сертификаты под нужную вам платформу, а дальше выбор по сути сводится к выбору по цене и по известности центра сертификации, зачастую клиенты выбирают те центры сертификации, с которым уже работали ранее.

Несколько советов.

Буду рад ответить на вопросы по сертификатам разработчика, в рамках своей компетенции, так как сам разработчиком не являюсь.
Также буду рад дополнениям и уточнениям от тех, кто такими сертификатами пользуется.

UPD: добавил важную информацию про timestamp (временную метку), спасибо TolTol и crea7or

Источник