Загадки Code Signing
Кросспост из блога автора. Комментировать лучше там, но можно и тут
Я разработчик десктопного софтвария молодой, неопытный, сразу не бейте, лучше научите.
Освоил SignTool и все что к нему прилагается, на девелоперской машине все работает как хочется, ура.
Начинаю проверять, запускаю виртуальную машину, где никаких моих сертификатов вроде как нет. Собранный мной дистрибутив доступен через VMWare Shared Folders.
Жмякаю на сваренный мной инсталлятор и вижу такое вот:
Не, ну это лучше, конечно, чем 'Software from unknown published хочет нагадить вам на компьютер', но счастья недостаточно.
На той же виртуальной машине перетаскиваю инсталлятор с "сетевого" диска на локальный, опять жмякаю, вижу счастье:
В чем разница между сетевым диском и локальным - не могу понять.
В раздражении начинаю пробовать всякие другие инсталляторы других программ. Для части - вылезает окошко подобное первому (Security Warning), для части - сразу хорошее второе.
Какой-то системы не нашел. Ну разве только сразу "хорошее" лезет для распространенного софта (ACDSee, гарминовские утиля и т.п.), а предупреждение - для софта, который должен быть менее распространен (X-Rite Passport и так далее).
Кто знает, в чем тут секрет? Именно в распространенности софтвария (или ключа, коим он подписан) или есть какой-то еще фокус?
Update: signtool verify /pa для двух файлов:
Мой сетап от RawDigger, дает окошко первого типа:
Verifying: RawDigger-0.9.10-Beta-RU-Setup.exe Hash of file (sha1): FBC00F491824B167C5FF424984F7226CBFD02F2A Signing Certificate Chain: Issued to: VeriSign Class 3 Public Primary Certification Authority - G5 Issued by: VeriSign Class 3 Public Primary Certification Authority - G5 Expires: Thu Jul 17 03:59:59 2036 SHA1 hash: 4EB6D578499B1CCF5F581EAD56BE3D9B6744A5E5 Issued to: VeriSign Class 3 Code Signing 2010 CA Issued by: VeriSign Class 3 Public Primary Certification Authority - G5 Expires: Sat Feb 08 03:59:59 2020 SHA1 hash: 495847A93187CFB8C71F840CB7B41497AD95C64F Issued to: LibRaw LLC Issued by: VeriSign Class 3 Code Signing 2010 CA Expires: Thu Feb 28 03:59:59 2013 SHA1 hash: E5FDED60148BB9A3DB4F86A171676A013ECD1E3C The signature is timestamped: Thu Mar 15 19:13:46 2012 Timestamp Verified by: Issued to: Thawte Timestamping CA Issued by: Thawte Timestamping CA Expires: Fri Jan 01 03:59:59 2021 SHA1 hash: BE36A4562FB2EE05DBB3D32323ADF445084ED656 Issued to: VeriSign Time Stamping Services CA Issued by: Thawte Timestamping CA Expires: Wed Dec 04 03:59:59 2013 SHA1 hash: F46AC0C6EFBB8C6A14F55F09E2D37DF4C0DE012D Issued to: VeriSign Time Stamping Services Signer - G2 Issued by: VeriSign Time Stamping Services CA Expires: Fri Jun 15 03:59:59 2012 SHA1 hash: ADA8AAA643FF7DC38DD40FA4C97AD559FF4846DE Successfully verified: RawDigger-0.9.10-Beta-RU-Setup.exe Number of files successfully Verified: 1
ACDSee, который сразу работает как мне надо:
Verifying: setup.exe Hash of file (md5): 712A6C21DB5DD864F409FF876C4EAE72 Signing Certificate Chain: Issued to: VeriSign Class 3 Public Primary Certification Authority - G5 Issued by: VeriSign Class 3 Public Primary Certification Authority - G5 Expires: Thu Jul 17 03:59:59 2036 SHA1 hash: 4EB6D578499B1CCF5F581EAD56BE3D9B6744A5E5 Issued to: VeriSign Class 3 Code Signing 2010 CA Issued by: VeriSign Class 3 Public Primary Certification Authority - G5 Expires: Sat Feb 08 03:59:59 2020 SHA1 hash: 495847A93187CFB8C71F840CB7B41497AD95C64F Issued to: ACD Systems International Inc Issued by: VeriSign Class 3 Code Signing 2010 CA Expires: Fri May 11 03:59:59 2012 SHA1 hash: 5EB5B547DAEA1ABEB72B7D0F937C84B0C083A78D The signature is timestamped: Wed Dec 07 02:04:17 2011 Timestamp Verified by: Issued to: Thawte Timestamping CA Issued by: Thawte Timestamping CA Expires: Fri Jan 01 03:59:59 2021 SHA1 hash: BE36A4562FB2EE05DBB3D32323ADF445084ED656 Issued to: VeriSign Time Stamping Services CA Issued by: Thawte Timestamping CA Expires: Wed Dec 04 03:59:59 2013 SHA1 hash: F46AC0C6EFBB8C6A14F55F09E2D37DF4C0DE012D Issued to: VeriSign Time Stamping Services Signer - G2 Issued by: VeriSign Time Stamping Services CA Expires: Fri Jun 15 03:59:59 2012 SHA1 hash: ADA8AAA643FF7DC38DD40FA4C97AD559FF4846DE Successfully verified: setup.exe Number of files successfully Verified: 1 Ну вот не вижу разницы принципиальной. Единственная разница - у меня Hash SHA1, а у ACDSee - MD5. Попробую, конечно, и это тоже....