code-signing - 使用 signtool 创建 key 和签名可执行文件

Question

我将如何签署 Visual C# 可执行文件？

SignTool.exe 找不到证书。

我将如何创建自签名 key 和证书，并使 signtool 能够查看证书并使用它？

已安装 OpenSSL 和 Visual Studio 2010 Express。运行 Windows 7 Ultimate x64。

使用 Windows 驱动程序工具包中的 SignTool.exe。

Answer 1

使用自签名证书对您的二进制文件进行数字签名几乎违背了 concept of using digital certificates与程序。基本思想是证明代码是由您创建的(真实性)并且自您发布以来未被修改(完整性)。这必须通过使用由受信任的证书颁发机构 (CA) 签名的签名证书来完成。

使用 .Net，当二进制文件经过数字签名时，它是 automatically在启动期间验证完整性和真实性。虽然我没有亲自测试过，但使用自签名证书可能会给您带来很多问题。

如果您想对您的程序进行数字签名，您需要从 CA 购买代码签名证书。有许多公司可以提供此服务( Verisign 、 Thawte )，但需要收费。

虽然费用在价格上似乎有点极端，但请记住，您不仅购买数字证书，而且购买该证书的 24/7 验证。任何时候有人启动您的程序，它都会确保该程序是您编写的，并且该程序自您发布以来没有被更改。

获得证书后，您可以按照 How to: Sign Application and Deployment Manifests 中的步骤对您的程序进行数字签名。 .

更新:如果此程序严格来说是内部应用程序(仅限于您或您的企业)，you can created your own CA .由于您将是唯一一个运行它的人，因此只有您需要验证它。 CA 证书需要安装为 Trusted Root Certificate在将运行该程序的所有机器上(或者如果您可以访问 Windows Server，您可以设置一个真正的工作 CA)。