code-signing - Windows 代码签名过程和 MS signtool.exe 的替代方案？

Question

关闭。这个问题不满足Stack Overflow guidelines .它目前不接受答案。












想改善这个问题吗？更新问题，使其成为 on-topic对于堆栈溢出。

6 个月前关闭。




Improve this question




使用非 Microsoft 编译器，我为 Windows 编写了小应用程序，我想免费赠送或以微不足道的价格出售(例如 5 美元)。该程序不使用注册表，但我想将其作为使用免费工具(例如 InnoSetup)创建的安装程序可执行文件(例如 MyAppInstall.exe)提供。

来自 Signing a Windows EXE file和其他来源我的理解如下:

如果我不对安装程序进行签名，Windows 将弹出一个警告对话框，警告用户发布者未知，并建议他们不要运行该软件。这是不可取的。

如果我使用自认证 key 签署安装程序，弹出对话框至少会提供一个发布者名称而不是“未知”。它会说无法验证发布者或发布者不受信任。这可能比被描述为一个未知的出版商要好一点。

如果我每年向 CA 支付约 100 美元，我可以获得一个代码签名证书，这将使我能够
赠送可以轻松安装的有用的免费软件 - 不会出现可怕和令人反感的对话。

我可以使用 Windows 版本的 OpenSSL 创建用于代码签名的自认证 key 。这样我就不必为了获得 Microsoft 的 makecert.exe 而从 MS 下载安装 590 MB SDK 文件。

Catch 22:我听说过的唯一代码签名工具是 signtool.exe只能通过下载并安装至少 590 MB 的其他东西(SDK)来获得。

问:是否有替代 Microsoft 的 signtool.exe

Answer 1

有kSign ，他们的博客也有一篇关于how to integrate with Inno Setup的文章.

它不是 signtool 的完全替代品(即它不会签署涉及签署驱动程序包的 .cat 和 .sys 文件)，但它将对 EXE、DLL、COM、CAB 和 OCX 文件进行数字签名。