stefankittel

Code signing Zertifikat - Habe ich in den letzten Jahren was verpasst?

Moin,

ich nutzt seit mehreren Jahren ein Code-Signing Zertifikat für Setigo.
Ich habe hier eine P12-Datei die ich mit dem MS-Signtool von Visual-Studio verwende.
Damit steht in den EXE-Dateien mein Namen, meine Email und ein Datum.

Das ist nun abgelaufen und plage mich gerade damit herum ein neues zu erstellen.
Es soll ein ganz einfaches DV-Zertifikat sein, damit ich in Skrtipten überprüfen kann ob es wirklich meine Datei ist.

Der bisherige Aufwand ist der gleiche wie bei einem EV-SSL-Zertifikat.
Mit Videoidentifikation und DUNS-EIntrag (den ich nicht habe, wozu auch) und alles was sonst noch dazugehört.

Auch bekommt man das Zertifikat gar nicht mehr wie ich eben erfahren habe.
Man bekommt einen USB-Stick und eine Software die zusammen mit 2FA in der Cloud meine Dateien signiert.
Das wird ja spassig wenn ich mal das Projekt X aktualisieren. Das sind so 30 Dateien.

Nerv Kram

Stefan
Auf Facebook teilen
Auf X (Twitter) teilen
Auf Reddit teilen
Auf Linkedin teilen

Content-ID: 51589708869

Url: https://administrator.de/forum/code-signing-zertifikat-habe-ich-in-den-letzten-jahren-was-verpasst-51589708869.html

Ausgedruckt am: 08.05.2025 um 05:05 Uhr

Dani
Lösung Dani 11.03.2024 um 20:24:10 Uhr
Goto Top
Moin,
Habe ich in den letzten Jahren was verpasst?
Ja. face-wink Das ist schon länger so.

Einzig wenn du eine Vielzahl von Zertifikaten nutzten möchtest, bleibt dir der USB Stick erspart. Dafür hast du eine zentrales Management mit einer HSM Appliance und Schnittstelle zu GlobalSign, SwissSign, Digicert, etc.


Gruß,
Dani
rickstinson
Lösung rickstinson 13.03.2024 um 19:06:57 Uhr
Goto Top
Ja das wurde letztes Jahr so geforced, nur mehr toller USB Stick, mussten dafür extra eine Zoll Nummer beantragen.

Dieser Stick und dessen Software ist übrigens so toll, dass man diesen nicht so einfach auf eine virtuelle Maschine durchschleifen kann.

Das ist echt super, wenn man nach einem Update neu signieren muss (was bis dato automatisch ging)...
StefanKittel
StefanKittel 13.03.2024 um 22:29:30 Uhr
Goto Top
Zitat von @rickstinson:
Ja das wurde letztes Jahr so geforced, nur mehr toller USB Stick, mussten dafür extra eine Zoll Nummer beantragen.
Dieser Stick und dessen Software ist übrigens so toll, dass man diesen nicht so einfach auf eine virtuelle Maschine durchschleifen kann.
Das ist echt super, wenn man nach einem Update neu signieren muss (was bis dato automatisch ging)...

Da freue ich mich ja jetzt schon so richtig drauf.
StefanKittel
StefanKittel 15.03.2024 um 07:00:05 Uhr
Goto Top
Kennt denn noch Jemand einen Anbieter für DV Code sign Zertifikate?
Dani
Dani 15.03.2024 um 17:41:00 Uhr
Goto Top
Moin,
SwissSign, Digicert, TeleTrust, GlobalSign,


Gruß,
Dani
StefanKittel
StefanKittel 15.03.2024 um 17:48:41 Uhr
Goto Top
Zitat von @Dani:
SwissSign, Digicert, TeleTrust, GlobalSign,
Keiner davon bietet DV-Überprüfung (Email) an wo ich dann eine einfache P12-Datei für signtool erhalte an.
Oder übersehe ich etwas.
Dani
Dani 19.03.2024 um 18:38:21 Uhr
Goto Top
Moin,
da hast du recht... ich habe vergessen, dass wir immer eigene PKIs haben. face-sad


Gruß,
Dani
viragomann
viragomann 20.03.2024 um 16:43:35 Uhr
Goto Top
Code signing Zertifikat - Habe ich in den letzten Jahren was verpasst?
Kennt denn noch Jemand einen Anbieter für DV Code sign Zertifikate?

So wie du dir das vorstellst, leider nicht.

Hatte vor einem halben Jahr vergeblich nach einem Anbieter gesucht, bei dem die Validierung halbwegs simpel und rasch abläuft. Ich hatte es letzten Endes bei Entrust versucht, weil deren Webseite offensichtlich europäisch war. Hatte aber dieselbe Enttäuschung erlebt:
EORI-Nummer für den Zoll wurde benötigt und musste erst beantragt werden, weil der Key aus den USA versandt wurde. Darauf hatte uns aber erst der Paketdienst in Kenntnis gesetzt, als das Paket bereits hier am Flughafen lag.
Aktivierungsprozess über einen Web-Account bei Entrust irreführend, weil Parameter und Status nicht gepasst hatten.
Der ganze Prozess hatte 3 Wochen mit zweistelligen Arbeitsstunden in Anspruch genommen.
StefanKittel
StefanKittel 07.05.2024 um 15:10:45 Uhr
Goto Top
Hallo,

mal ein Nachtrag.

Zuerst hatte ich ein Certum Cloud Code Signing Zertifikat bei einem bekannten deutschen Händler bestellt.
Nach 30m hin und her habe ich dann mein Geld zurückbekommen weil es an verschiedenen Punkten nicht weiterging. Certum sprach nicht direkt mit mir, bin ja kein Kunde von denen, und der Händler wusste nicht wie es geht.

Dann habe ich das Zertifikat direkt von Certum für 3 Jahre als Email-Versifizierte Cloud-Version beantragt (kein EV).
Alternativ wäre eine Chip-Karte möglich, aber mir konnte keiner sagen ob das auf meinem RDP-Entwicklungs-Systemen funktioniert.

Allgemein ist der Prozess schwerfällig und hackelig.
Irgenwan bekommt man einen QR-Code mit dem man auf dem Handy und deren App einen Token anzeigen kann.
Den kann man dann mit der "SimplySign Desktop" Anwendung unter Windows eintragen und es wird das Zertifikat abgerufen. Dies landet dabei direkt im Windows-Zertifikats-Speicher und ich kann Signtool verwenden.

Anleitungen zu den einzelnen Schritten gibt es nicht, ich habe es dem Support und durch ausprobieren rausbekommen.

Die Handy-App braucht man danach nicht mehr und beim signieren muss man auch nichts eingeben.

Warum das jetzt sicherer sein soll als eine P12-Datei mit Kennwort ist mir schleierhaft.
Dafür hat es aber auch das 3 fache gekostet wie vor 3 Jahren und 2 Wochen statt 10 Minuten gedaurert...

Nerv-Krams

Stefan