Windows Server 2016/2019 错误地返回 Owin.dll 上的 Authenticode 签名

Question

Owin.dll，Owin package on Nuget.org里面的程序集, 没有 Authenticode 签名。但是，在 Windows Server 2016 和 Windows Server 2019 上，Get-AuthenticodeSignature (和 sigcheck.exe )错误地报告 Owin.dll 确实具有 Authenticode 签名。

如果您部署 Windows Server VM 并运行此代码，它将返回不同的签名和时间戳证书(我只在 Azure 中这样做):

> [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
> Invoke-WebRequest "https://dist.nuget.org/win-x86-commandline/latest/nuget.exe" -OutFile NuGet.exe
> .\NuGet.exe install owin -o .
> Get-AuthenticodeSignature .\Owin.1.0\lib\net40\Owin.dll | Format-List

在 Windows Server 2019 上，它返回带有指纹 AE9C1AE54763822EEC42474983D8B635116C8452 和 TimestamperCertificate 指纹 893ED0E4D032C3855D5D2296B2DE2DD1AFB897DD 的 SignerCertificate。

在 Windows Server 2016 上，它返回带有指纹 E85459B23C232DB3CB94C7A56D47678F58E8E51E 和 TimestamperCertificate 指纹 CFC3E3018EA65666DCE484FC7016EB42D1F108A9 的 SignerCertificate。

其他证书元数据表明这些实际上是来自 Microsoft 的证书。

这是怎么回事？为什么这个特定程序集在这些特定版本的 Windows 中会以这种方式运行？

Answer 1

虽然签名不是 Owin.dll 本身的一部分，但 Windows Server 有一个“安全目录”(在 %SystemRoot%\System32\CatRoot 下)，它通过名称识别 Owin.dll/哈希。安全目录由 Microsoft 签名，它是 Get-AuthenticodeSignature 返回的安全目录的签名证书。实际上，它只是一个“分离的”Authenticode 签名，而不是嵌入到 .dll 中。