So überprüfen Sie, ob der Zeitstempel für den signierten Code korrekt ist

Question

Ich habe gerade mein Code-Signing-Zertifikat von StartSSL erhalten und versuche, unseren Installer zu unterschreiben.

Der Signiervorgang läuft gut und ich bekomme eine Installer-Exe, dass Windows nicht mehr beschwert, von unbekannten Herausgebern zu sein. Das ist toll!

Allerdings habe ich versucht, sicherzustellen, dass das Timestamping auch wie angekündigt funktioniert, also habe ich mein PC-Datum nach 2012 verschoben, nach dem Ablaufdatum meines Codesignaturzertifikats.

Dies sollte angeblich keinen Unterschied machen, aber wenn ich die gleiche Installer exe ausführen, bekomme ich jetzt die gleiche böse "unbekannten Herausgeber" Warnung.

Mit Blick auf die Eigenschaften der Exe in der Registerkarte Digitale Signaturen kann ich definitiv sehen, dass der Zeitstempel heute (2010) zeigt, aber das scheint überhaupt nicht zu helfen.

Googling gab mir nichts anderes als, wenn Sie das Datum im Feld Timestamp sehen, dann ist alles in Ordnung. Ich kann das nicht glauben, mein PC mit fortgeschrittenem Datum beschwert sich, dass es nicht in Ordnung ist.

Weiß jemand, ob dieses Timestamping-Konzept überhaupt funktioniert und wie ich sicherstellen kann, dass ich die ausführbare Datei richtig signiere?

Danke.

Answer 1

Entschuldigung, ich habe keine Antwort für Sie, aber es sieht so aus, als ob Sie nicht das Verhalten sehen sollten, das Sie sind, gemäß Comodo's Instant SSL FAQ.

Ist timestamped Code gültig nach einer Codesignierungszertifikat abläuft?
Timestamping gewährleistet , dass Code nicht abläuft, wenn Zertifikat abläuft. Wenn Ihr Code Zeitstempel ist, ist die digitale Signatur gültig, obwohl das Zertifikat abgelaufen ist. Ein neues Zertifikat ist nur erforderlich, wenn Sie zusätzlichen Code signieren möchten. Wenn Sie die Zeitstempeloption während der Signatur nicht verwendet haben, müssen Sie Ihren Code erneut signieren und erneut an Ihre Kunden senden.

Comodo scheint zu diesem Thema maßgebend zu sein, also bin ich geneigt zu glauben, was sie sagen.

Ich bin gespannt auf die Antwort auf diese selbst, weil ich gerne ein Code-Signatur-Zertifikat von StartSSL selbst kaufen würde. Ich habe auf ihrer Seite bemerkt, dass die Code-Zertifikate "Beta" sind, also ist das vielleicht etwas, woran sie arbeiten müssen.

Answer 2

Es gibt einen Unterschied zwischen der "Signing Time" und dem Timestamp vom "Stamping Signer". Die Signierungszeit ist die Zeit, zu der Sie den Code tatsächlich signiert haben, wenn der Zeitstempel vom "Stamping Signer" (dem Zertifikatsserver) stammt.

Durch die Signierung mit dem Zeitstempel des Zertifikatsausgebers wird sichergestellt, dass Ihre Signatur auch dann gültig ist, wenn Ihr Zertifikat bereits abgelaufen ist.

Answer 3

Die von StartSSL ausgestellten Codesignaturzertifikate enthalten das EKU-Attribut "Lifetime Signing" (1.3.6.1.4.1.311.10.3.).13), wodurch die Dateisignaturen ablaufen, wenn das Zertifikat abläuft, unabhängig von Zeitstempeln.