InstallShieldのコード署名証明書について

Question

私は秘密鍵がエクスポートされていない状態でコード署名証明書を使用することはほとんどありませんでした。したがって、setupshield 2013にコード署名証明書を含めることに関する基本情報を要求し、setup.exeファイルに署名します。 このようになります... 数日前に有効期限が切れたSymantecおよび/またはVerisignの証明書がありました。そこでSHA-256証明書である新しい証明書を取得しました。ただし、秘密鍵は解放されません。したがって、我々は、私たちのinstallshieldに含まれていた.pfxファイルを生成することはできません。彼らは、ここで、誰がinstallshieldを使ってコード署名をしたいのかについては、秘密鍵の検証を行うためにコンピュータに接続されたドングルが必要だと言う。彼らが何を意味しているのかよく分かりません。しかし、私たちが秘密鍵の検証のためにドングルに接続することを望むことは明らかです。したがって、pfxファイルがない場合、installshield 2013を使用してコード署名を行うにはどうすればよいですか？私はまた、SHA-256証明書のサポートが2013年に利用できなかったこと、そしてそのようなことをするために2015年以上に移行する必要があることをWeb上で読んでいます。だから私たちはこのことでロードブロッキングを起こし、自動化されたビルドプロセスは失敗しています。 それで、私たちがこのことをどうやってやることができるかについて私に指導をお願いします。 ありがとうございました、 Bhushan。

Answer 1

InstallShield 2015またはそれ以降の証明書ストアからの証明書を使用した署名のサポートが追加されました。それ以前には、intercepted the call to signtoolを持っている人がいて、実際のsigntoolまたはそれが呼び出すAPIへの独自の呼び出しを実装する人もいます。これにより、ドングルベースの秘密鍵など、必要なものを自由に使用できるようになります。

（マイナス面と、InstallShield 2015年代以降の実装は、あなたがこの傍受のトリックを行うことはできません。）

Answer 2

[OK]を...それはこのように書きますので...我々は権利の問題を持っています。シマンテックのように、証明書の所有者である人だけが管理者権限で自分のマシンに秘密鍵を生成することができ、IE 11ブラウザも使用します。問題は、証明書の要求がヘルプデスクのポータルに送られ、承認待ちの状態で必要な承認が得られた後symantecに転送されることです。要求側のチームが証明書を支払ったにもかかわらず、承認者が所有者として行動しなければならないように見えます。それは変だけど本当です。したがって、すべての証明書を最初に受け取った人は証明書をダウンロードし、秘密鍵とともに証明書を.pfxファイルにエクスポートしてから.pfx！を送信しなければなりません。一方、ブラウザからエクスポート証明書ウィザードを実行する可能性はありますか？ユーザーが不十分な権限でブラウザを起動したため、エクスポート.pfxオプションが無効になっていますか？これが権利問題であることをどのように確認できますか？ありがとう。

Answer 3

さらに、署名に関する非常に一般的な質問があります。問題は、コード署名が何であり、アプリケーションの中には絶対に必要なものがあるかも知れませんが、Windowsベースのデスクトップアプリケーションが実質的に必要ないとは限りません。私はこれについて間違っているかもしれません。しかし、私が見ているすべての文献は、出版権が信頼されるべきであるという事実を指摘している。現在、チームとして、installshieldを使用してパッケージ化されているデスクトップアプリケーションスイートと、Symantec SHA 256クラス証明書によって署名されたコードを担当しています。 set.exeファイルにのみ署名し、その結果、ソフトウェアをインストールするユーザーに典型的な信頼のプロンプトを表示します。私たちのユーザーは、かなり密接に結びついているクライアントのグループであり、簡単に近づけることができます。また、私たちのネットワークが傍受され、セットアップの内容を改ざんするためのハッキングのリスクはありません。このような状況では、正当な証明書を持っていますか？ 私はSignToolに関してもいくつか質問があります。証明書の署名がまだ秘密鍵を調達していないために失敗していることを理解しています。ただし、タイムスタンプ検証は、テスト目的で生成した自己署名証明書でも失敗しています。ですから、Signtoolが呼び出されたときにinstallshieldでタイムスタンプが何をしているのかを理解する必要がありますか？ InstallShieldは良い製品です。しかし、Flexeraが提供しているサポート文書はむしろ哀れです。ありがとう。