sha1 - Signtool 双重签名失败

Question

有关尝试使用 SHA1/SHA256 进行双重签名时遇到的失败的问题。

我已经拥有 SHA256 代码签名证书几年了，但在新年(2016 年)之前，我开始使用/fd SHA256 作为哈希算法，以符合 Microsoft 弃用的 SHA1。

这工作得很好，但是签名哈希当然不能在旧操作系统上验证。我不关心 XP，但我还是有点关心 Vista。

我首先使用以下命令签署 SHA1:

signtool sign /fd SHA1 /f "cert.pfx" /p "password" /t http://timestamp.verisign.com/scripts/timsetamp.dll "file"

然后我尝试双重签名:

signtool sign /as /fd SHA256 /f "cert.pfx" /p "password" /tr http://timestamp.globalsign.com/?signature=sha2 "file"

signtool 给了我这个:

Done Adding Additional Store
SignTool Error: An unexpected internal error has occurred.
Error information: "Error: SignerSign() failed." (-2147024846/0x80070032)

现在我可以使用单一算法(SHA1 或 SHA256)成功签署文件，但无法添加第二个签名。我唯一的猜测是，因为我对两种算法使用相同的证书，所以它不喜欢这样。每种算法都需要不同的物理证书吗？

只是想知道，因为在新年之前，我多年来一直使用 SHA256 证书和 SHA1 算法，并且它在所有操作系统上都经过了良好的验证。

Answer 1

这是来自不匹配的 dll。 signtool.exe 需要正确的 wintrust.dll 和 mssign32.dll，否则只有在双重签名时我才会得到 0x80070032。该网站提供 8.1 下载，因此您不需要整个 SDK http://ksoftware.freshdesk.com/support/solutions/articles/17170-how-do-i-use-ksign-to-digitally-sign-files-Signtool 8.1 位于 http://cdn1.ksoftware.net/signtool_8.1.zip