Windowsで署名付き実行可能ファイルの実行時に有効期限が切れている証明書がある理由

Question

2014年に、バイナリにデジタル署名するために使用したStartSSLからクラス2のコード署名証明書を購入しました。この証明書は期限切れです。私は実際に新しい証明書を取得しようとしています。しかし、無関係な事件では、VMで署名したセットアッププログラムの1つを実行し、WindowsがUACダイアログの「Unverified Publisher」の亜種を開発したときに、やや面倒でした。

証明書の有効期限が切れています。もちろん

が、なぜファイル（つまり、有効期間内に締結された）され、突然未検証：私は、デジタル署名のプロパティを表示すると

私は、これは参照してください？私はこれが他のソフトウェアで起こっているのを見ていません。例えば、Office 2003のセットアップの古い署名入りのコピーを見ると、無効な署名について不平を言わず、有効期間は10年前に失効しました。

これはなぜでしょうか？率直に言って、私は現在、証明書を最初に購入する点が何であり、インプロセス交換のキャンセルを真剣に考えているのだろうと思っています。彼らが自分自身を無効にするとき、一種の無意味に思えます。それとも、クラス2とクラス3で違うのですか？ （クラス3は、私は今のホールドを取得しようとしているバージョンである）

マイクロソフトのブログ記事への最初の脚注で説明したように、これは、明らかにいくつかのコード署名証明書のバイデザイン制限です

Answer 1

、Everything you need to know about Authenticode Code Signing：

タイムスタンプが無期限に提供されることを許可する発行者証明書はすべてありません。発行者の署名証明書にライフタイム署名者OID（OID_KP_LIFETIME_SIGNING 1.3.6.1.4.1.311.10.3.13）が含まれている場合、署名がタイムスタンプされていても、発行者の署名証明書が失効すると署名は無効になります。これは、永続的に失効リスト（CRL、OCSP）を維持する負担から認証局を解放することです。

代替証明書に同じ制限があるかどうかを確認し、代替ベンダーを検討することをお勧めします。