Emitir certificados próprios para assinar o software

Question

Temos uma infraestrutura baseada em janelas. Recentemente, perguntaram ao nosso desenvolvedor de software se podemos emitir nossos próprios certificados para assinar alguns pequenos programas que estamos enviando para parceiros. Mas eu não entendo completamente o processo de fazer isso. O que exatamente devo configurar para que possamos emitir e manter nossos próprios certificados para assinar o software? Aparentemente, o software deve ser sinal devido a algumas preocupações de segurança.

Comprar certificados de um provedor como a Verisign não é uma opção e, até onde eu sei, não é necessário que nosso certificado seja de confiança.

Como isso é feito normalmente? Eu tenho uma infraestrutura baseada no Windows na empresa.

    

Answer 1

Você pode configurar uma autoridade de certificação da Microsoft, mas isso provavelmente não funcionará para o que você está tentando realizar. Um servidor Microsoft Certificate pode ser usado para assinar o código para uso dentro de sua rede, pois você pode ter todas as máquinas confiáveis na autoridade de certificação. Isso não ajudará os outros a confiar em seu aplicativo como o desenvolvedor sem ser assinado por um provedor como a Verisign.

Aqui está uma postagem sobre como assinar aplicativos do Windows 8 com uma PKI interna, mas isso funciona novamente para aplicativos internos, não externos. link

    

Answer 2

Eu realmente não acho que você conseguirá realizar o que deseja sem obter um certificado de assinatura de código de terceiros adequado e reconhecido.

A Verisign não é o único emissor de tais certificados; comprar ao redor e você encontrará melhores preços.

Quanto ao processo de assinatura, eu uso o MS Signtool da maneira descrita aqui: link

    

Answer 3

Você pode definitivamente criar sua própria CA e enviar essa CA a seus clientes, que deverão instalá-la como uma CA confiável em todos os computadores que usam para executar seu software. Você terá que gerenciar (e proteger bem de perto) a chave da AC e convencer cada um de seus clientes a fazer isso com você (aqueles com qualquer coisa que se pareça com uma política de segurança recusarão categoricamente), fornecer instruções detalhadas e apoiá-la. / p>

Se você usa um certificado não confiável, geralmente o Windows faz mais barulho do que se você não assinasse seus binários.

Sério, não descarta comprar um desses. Se você for com um provedor como o StartCom, você pode ter um por cerca de US $ 120 no máximo por dois anos. Isso é muito mais barato do que lidar com você mesmo, mesmo que todos os seus funcionários recebessem um salário mínimo.