Загадки Code Signing

alextutubalin — 15.03.2012

Кросспост из блога автора. Комментировать лучше там, но можно и тут

Я разработчик десктопного софтвария молодой, неопытный, сразу не бейте, лучше научите.

Освоил SignTool и все что к нему прилагается, на девелоперской машине все работает как хочется, ура.

Начинаю проверять, запускаю виртуальную машину, где никаких моих сертификатов вроде как нет. Собранный мной дистрибутив доступен через VMWare Shared Folders.

Жмякаю на сваренный мной инсталлятор и вижу такое вот:

Не, ну это лучше, конечно, чем 'Software from unknown published хочет нагадить вам на компьютер', но счастья недостаточно.

На той же виртуальной машине перетаскиваю инсталлятор с "сетевого" диска на локальный, опять жмякаю, вижу счастье:

В чем разница между сетевым диском и локальным - не могу понять.

В раздражении начинаю пробовать всякие другие инсталляторы других программ. Для части - вылезает окошко подобное первому (Security Warning), для части - сразу хорошее второе.

Какой-то системы не нашел. Ну разве только сразу "хорошее" лезет для распространенного софта (ACDSee, гарминовские утиля и т.п.), а предупреждение - для софта, который должен быть менее распространен (X-Rite Passport и так далее).

Кто знает, в чем тут секрет? Именно в распространенности софтвария (или ключа, коим он подписан) или есть какой-то еще фокус?

Update: signtool verify /pa для двух файлов:

Мой сетап от RawDigger, дает окошко первого типа:

Verifying: RawDigger-0.9.10-Beta-RU-Setup.exe
Hash of file (sha1): FBC00F491824B167C5FF424984F7226CBFD02F2A

Signing Certificate Chain:
    Issued to: VeriSign Class 3 Public Primary Certification Authority - G5
    Issued by: VeriSign Class 3 Public Primary Certification Authority - G5
    Expires:   Thu Jul 17 03:59:59 2036
    SHA1 hash: 4EB6D578499B1CCF5F581EAD56BE3D9B6744A5E5

        Issued to: VeriSign Class 3 Code Signing 2010 CA
        Issued by: VeriSign Class 3 Public Primary Certification Authority - G5
        Expires:   Sat Feb 08 03:59:59 2020
        SHA1 hash: 495847A93187CFB8C71F840CB7B41497AD95C64F

            Issued to: LibRaw LLC
            Issued by: VeriSign Class 3 Code Signing 2010 CA
            Expires:   Thu Feb 28 03:59:59 2013
            SHA1 hash: E5FDED60148BB9A3DB4F86A171676A013ECD1E3C

The signature is timestamped: Thu Mar 15 19:13:46 2012
Timestamp Verified by:
    Issued to: Thawte Timestamping CA
    Issued by: Thawte Timestamping CA
    Expires:   Fri Jan 01 03:59:59 2021
    SHA1 hash: BE36A4562FB2EE05DBB3D32323ADF445084ED656

        Issued to: VeriSign Time Stamping Services CA
        Issued by: Thawte Timestamping CA
        Expires:   Wed Dec 04 03:59:59 2013
        SHA1 hash: F46AC0C6EFBB8C6A14F55F09E2D37DF4C0DE012D

            Issued to: VeriSign Time Stamping Services Signer - G2
            Issued by: VeriSign Time Stamping Services CA
            Expires:   Fri Jun 15 03:59:59 2012
            SHA1 hash: ADA8AAA643FF7DC38DD40FA4C97AD559FF4846DE

Successfully verified: RawDigger-0.9.10-Beta-RU-Setup.exe

Number of files successfully Verified: 1

ACDSee, который сразу работает как мне надо:

Verifying: setup.exe
Hash of file (md5): 712A6C21DB5DD864F409FF876C4EAE72

Signing Certificate Chain:
    Issued to: VeriSign Class 3 Public Primary Certification Authority - G5
    Issued by: VeriSign Class 3 Public Primary Certification Authority - G5
    Expires:   Thu Jul 17 03:59:59 2036
    SHA1 hash: 4EB6D578499B1CCF5F581EAD56BE3D9B6744A5E5

        Issued to: VeriSign Class 3 Code Signing 2010 CA
        Issued by: VeriSign Class 3 Public Primary Certification Authority - G5
        Expires:   Sat Feb 08 03:59:59 2020
        SHA1 hash: 495847A93187CFB8C71F840CB7B41497AD95C64F

            Issued to: ACD Systems International Inc
            Issued by: VeriSign Class 3 Code Signing 2010 CA
            Expires:   Fri May 11 03:59:59 2012
            SHA1 hash: 5EB5B547DAEA1ABEB72B7D0F937C84B0C083A78D

The signature is timestamped: Wed Dec 07 02:04:17 2011
Timestamp Verified by:
    Issued to: Thawte Timestamping CA
    Issued by: Thawte Timestamping CA
    Expires:   Fri Jan 01 03:59:59 2021
    SHA1 hash: BE36A4562FB2EE05DBB3D32323ADF445084ED656

        Issued to: VeriSign Time Stamping Services CA
        Issued by: Thawte Timestamping CA
        Expires:   Wed Dec 04 03:59:59 2013
        SHA1 hash: F46AC0C6EFBB8C6A14F55F09E2D37DF4C0DE012D

            Issued to: VeriSign Time Stamping Services Signer - G2
            Issued by: VeriSign Time Stamping Services CA
            Expires:   Fri Jun 15 03:59:59 2012
            SHA1 hash: ADA8AAA643FF7DC38DD40FA4C97AD559FF4846DE

Successfully verified: setup.exe

Number of files successfully Verified: 1

Ну вот не вижу разницы принципиальной. Единственная разница - у меня Hash SHA1, а у ACDSee - MD5. Попробую, конечно, и это тоже....

Оставить комментарий

Популярные посты:

• Архив