Подписание с использованием Authenticode сторонних поставщиков криптографических служб (CSP)

Сторонние подписи Authenticode для пользовательских поставщиков служб шифрования (CSPS) доступны в Windows Vista и более поздних версиях.

Следовательно, корпорация Майкрософт больше не будет подписывать CSP, а служба ручной подписи CSP прекращена. Сообщения электронной почты и CSP, отправленные на cspsign@microsoft.com или cecspsig@microsoft.com для подписания, больше не будут обрабатываться корпорацией Microsoft.

Вместо этого все сторонние поставщики CSP могут теперь получить самоподписанные сертификаты, следуя следующей процедуре:

1. Приобретите сертификат подписи кода из центра сертификации (ЦС), для которого корпорация Майкрософт также выдает кросс-сертификат. Тема кросс-сертификатов для подписывания кода в режиме ядра содержит список УЦ, для которых корпорация Майкрософт также предоставляет кросс-сертификаты, а также соответствующие кросс-сертификаты. Обратите внимание, что это единственные перекрестные сертификаты, которые соединяются с корневым центром сертификации проверки кода Microsoft, выданным корпорацией Майкрософт, что позволит Windows запускать сторонних поставщиков криптографических служб.
2. После получения сертификата из ЦС и соответствующего кросс-сертификата вы можете использовать SignTool для подписывания всех двоичных файлов CSP.
3. SignTool входит в последние версии Visual Studio. Она также входит в состав WDK версии 7.0 и более новых версий. Обратите внимание, что signTool, который поставляется с более ранними версиями WDK, несовместим с кросс-сертификатами и не может использоваться для подписывания двоичных файлов.

Вы можете подписать двоичные файлы из командной строки или подписать как интегрированный шаг сборки в Visual Studio 2012 и более поздней версии.

Команда SignTool :

signtool.exe sign /ac <cross-certificate_from_ms> /sha1 <sha1_hash> /t <timestamp_server> /d <”optional_description_in_double_quotes”> <binary_file.ext>

• <кросс-сертификат> — это файл кросс-сертификата, скачанный из Майкрософт
• < > sha1_hash — это отпечаток SHA1, соответствующий сертификату подписи кода.
• < > timestamp_server — это сервер, используемый для метки времени операции подписывания.
• <"optional_description_in_double_quotes"> является необязательным описанием понятного имени
• <binary_file.ext> — это файл для подписи

Рассмотрим пример.

signtool.exe sign /ac certificate.cer /sha1 553e39af9e0ea8c9edcd802abbf103166f81fa50 /t "http://timestamp.digicert.com" /d "My Cryptographic Service Provider" csp.dll

Дополнительная помощь и поддержка

Вы можете попробовать форум "Безопасность приложений для Windows Desktop" для получения помощи.