openssl - 将 Sectigo/Comodo 的代码签名证书转换为实际可用的 .pfx 文件

Question

当我尝试使用 Firefox 从 Sectigo/Comodo 下载代码签名证书时，我最终下载了一个名为 CollectCCC 的文件。 , 没有文件扩展名。我不清楚如何使用它来签署二进制文件。当我尝试使用它对二进制文件进行签名时(打开 /debug)，我得到以下信息:

> .\installation\signtool.exe sign /debug /f 'C:\Users\username\Downloads\CollectCCC' .\DraughtHub_Link.exe

The following certificates were considered:
    Issued to: GoDragons
    Issued by: Sectigo RSA Code Signing CA
    Expires:   Fri Oct 22 00:59:59 2021
    SHA1 hash: <hash>

    Issued to: Sectigo RSA Code Signing CA
    Issued by: USERTrust RSA Certification Authority
    Expires:   Wed Jan 01 00:59:59 2031
    SHA1 hash: <hash>

    Issued to: USERTrust RSA Certification Authority
    Issued by: AAA Certificate Services
    Expires:   Mon Jan 01 00:59:59 2029
    SHA1 hash: <hash>

    Issued to: AAA Certificate Services
    Issued by: AAA Certificate Services
    Expires:   Mon Jan 01 00:59:59 2029
    SHA1 hash: <hash>

After EKU filter, 4 certs were left.
After expiry filter, 4 certs were left.
After Private Key filter, 0 certs were left.
SignTool Error: No certificates were found that met all the given criteria.

部分问题是我无法使用 IE 下载他们的证书(他们推荐的方式，叹气)，因为我没有使用 IE 创建代码签名证书请求。我使用 openssl 创建了代码签名证书请求.
这是我从 IE 收到的错误消息:

我尝试导入 CollectCCC进入 IE 以及失败。
免责声明:我不建议将 Sectigo 和/或 Comodo 用于代码签名证书!我和他们的经历太糟糕了!值得花更多的钱来获得更好的服务。

Answer 1

经过大量的谷歌搜索，我最终确定了 CollectCCC文件类型为 .p7s .
您可以转换 .p7s文件到 .pfx文件(需要对二进制文件进行签名)使用 openssl使用以下命令(这是一个两步过程):

openssl pkcs7 -inform der -in CollectCCC -print_certs -out CollectCCC.pem
openssl pkcs12 -export -out certificate.pfx -inkey ~/.csr/www.draughthub.com.key -in CollectCCC.pem

您在哪里更换 ~/.csr/www.draughthub.com.key使用您创建的私钥的位置来发出代码签名证书请求。第二步将提示您输入密码。这是您用于创建请求的密码(和相应的私钥)。