windows - SmartScreen 阻止使用 SHA-2 签名的二进制文件

Question

我用有效的 SHA-2 证书(Authenticode 和时间戳)对我的二进制文件进行了签名，但 Windows 10 上的 SmartScreen 仍然阻止它并且 Edge 报告“此文件的签名已损坏或无效”。

我已经检查了来自流行来源的其他二进制文件，例如 Firefox。他们仍然使用 SHA1 时间戳证书签名，但 Windows 没有报告任何问题。有人可以建议发生了什么事吗？

链接到我的二进制文件: https://dl.dropboxusercontent.com/u/21463705/Stackoverflow/Win32Project1.exe

My certificate screenshot

Answer 1

我们的安装人员遇到了同样的问题。即使当我仅使用 SHA-2 证书进行 SHA-2 签名时，Edge 仍然报告签名无效。

我们使用相同的代码签名机构，“VeriSign Class 3 Code Signing 2010 CA”，它本身使用 SHA-1 签名进行签名:

这似乎是 SmartScreen 的“此文件的签名已损坏或无效”错误消息的原因。

我联系了 Symantec(他们现在运行 VeriSign)，他们为我们颁发了替换证书。与前一个不同的是，这个由 “Symantec Class 3 SHA256 Code Signing CA” 签名，并且用 in 签名的可执行文件不再触发 SmartScreen 中的“签名损坏或无效”错误。

我仍然收到警告，因为我们的安装程序还没有足够的信誉，但这是一个完全不同的问题。

更新:赛门铁克现在是discontinuing the use of SHA-1 Intermediate CA Certificates used for signing SHA-256 Code Signing certificates .