Здравствуйте, serverside, Вы писали:

А>>Автору подпись не продадут.
S>Чё эта не продадут? Запросто продадут. Там смысл не в том, чтоб дискриминировать, а в том, чтобы идентифицировать.

A>>Поэтому авторы бесплатных программ не смогут подписать инсталляторы
S>Странное заблуждение. Запросто могут. Но только именно как Вася Пупкин, а не ПупкинМегаСофт. Но, очевидно, у авторов бесплатных программ какой-то комплекс на этот счет?

Ну как же могут??? Автору бесплатной программы теперь уже нужно регистрироваться предпринимателем чтобы угодить новомодной Виндовс. Т.е. получается бесплатные программы не от предпринимателя, Майкрософт в самом деле "дискриминирует".

Хорошо. Идём по вашей ссылке (http://ssl.rbc.ru/product/devcert.shtml) и читаем:

Сертификат разработчика Thawte позволяет подписывать код ваших программ.

Для получения сертификата разработчика необходимо представить документы, подтверждающие государственную регистрацию компании, и заполнить форму на сайте Thawte:

— Подготовить нотариально заверенную копию свидетельства о внесении записи в единый государственный реестр юридических лиц о юридическом лице.
— Подготовить нотариально заверенную копию свидетельства о постановке на налоговый учет в налоговом органе юридического лица, образованного в соответствии с законодательством РФ, по месту нахождения на территории РФ.
— Оплатить сертификата рублевым перечислением через РБК.


Т.е. если я не хочу становиться предпринимателем, но хочу выпускать хороший бесплатный софт от своего имени и фамилии, то новые правила не позволяют мне создать условия при которых пользователи не увидят сообщений о некой опасности для Windows XP SP2 и намного больше разных угрожающих сообщений в Висте?

Здравствуйте, Аноним, Вы писали:

А>Хорошо. Идём по вашей ссылке (http://ssl.rbc.ru/product/devcert.shtml) и читаем:

А>Сертификат разработчика Thawte позволяет подписывать код ваших программ.

А>Для получения сертификата разработчика необходимо представить документы, подтверждающие государственную регистрацию компании, и заполнить форму на сайте Thawte:

[...]

А>Т.е. если я не хочу становиться предпринимателем, но хочу выпускать хороший бесплатный софт от своего имени и фамилии, то новые правила не позволяют мне создать условия при которых пользователи не увидят сообщений о некой опасности для Windows XP SP2 и намного больше разных угрожающих сообщений в Висте?

Определенная логика в этом есть.
Сертификат == подтверждение, что программа предоставляет некие базовые гарантии безопасности (есть надежда, что явному malware сертификат не дадут). Нет компании — нет гарантий (никто не докажет, что ты "хороший разработчик") — от пользователя требуется определенная "квалификация" (способность отличить уважаемый проект с многолетней историей от www.cooltrojan.greedyhackers.com/mycooltrojan.exe). Пользователь, обладающий такой квалификацией, правильно поймет "угрожающее сообщение". "Абсолютному чайнику" (который крайний случай "идеального пользователя MS") лучше "дать по рукам" в максимальном количестве случаев.

Здравствуйте, Аноним, Вы писали:

А>Ну как же могут??? Автору бесплатной программы теперь уже нужно регистрироваться предпринимателем чтобы угодить новомодной Виндовс. Т.е. получается бесплатные программы не от предпринимателя, Майкрософт в самом деле "дискриминирует".
А>Хорошо. Идём по вашей ссылке (http://ssl.rbc.ru/product/devcert.shtml) и читаем:

Это если из России да рублями. Если же Вася не Вася, а John Doe, то он идет на Комоду, и все, что от него требуется, это:

If the order has been applied for in your own personal name or the order is not for use by a commercial entity:
° Copy of your drivers license or passport

If the documents are not in English, we would ask you to please supply a copy of the
original documents and an English translation signed and with the following statement
on it "I hereby declare this translation to be true and accurate".

Comodo Security Services
Support Website: http://www.comodogroup.com/support


--

Здравствуйте, Зверёк Харьковский, Вы писали:

ЗХ>Сертификат == подтверждение, что программа предоставляет некие базовые гарантии безопасности (есть надежда, что явному malware сертификат не дадут). Нет компании — нет гарантий (никто не докажет, что ты "хороший разработчик") — от пользователя требуется определенная "квалификация"

Ничего подобного. Это всего лишь id. В каком-то смысле было бы даже желательно, чтобы все авторы вирусов подписывали свои произведения Легче ловить было бы.

Здравствуйте, w00zle, Вы писали:

W>На твоем сайте в данный момент на главной странице висит две публикации — про сайты и про тоталсайз.
W>Так вот, обе они начинаются со слов — "Наверное вы не раз задавались вопросом:"
W>Так глаз режет, честное слово. Я бы в одной из публикаций вступление поменял

Спасибо. Подправил.
Сейчас доделываем новую версию сайта. Будет новое ПО, новые работы в портолио (оно будет в несколько раз больше текущего).
Поэтому устраивать текущему сайту передеки нет особого смысла. Но обязательно учтем в новом.

Здравствуйте, temnik, Вы писали:

T>Смешно, чес.слово! Как будто подпись нельзя подделать.
T>Просто никто всерьез пока этим не занимался....

Расскажите как вы предпологаете это будут "ломать".
Вскрывать чужие подписи, чтобы подписываться чужим именем? А в чем тут смысл?
Делать липовые подписи? Придется как я понимаю еще и сайты, выдающие подписи ломать (а это далеко не 5 минут).

А главное — что дешевле: купить сертификат за $100 или все это ломать?

Здравствуйте, serverside, Вы писали:

ЗХ>>Сертификат == подтверждение, что программа предоставляет некие базовые гарантии безопасности (есть надежда, что явному malware сертификат не дадут). Нет компании — нет гарантий (никто не докажет, что ты "хороший разработчик") — от пользователя требуется определенная "квалификация"

S>Ничего подобного. Это всего лишь id. В каком-то смысле было бы даже желательно, чтобы все авторы вирусов подписывали свои произведения Легче ловить было бы.

Ну.. даже так — этот id связан с некими реальными людьми, которых можно найти (ЕМНИП, многие варианты malware можно уголовно ловить).

Здравствуйте, serverside:

Большое спасибо за информацию! Теперь всё стало понятно. Comodo — в самом деле реально может помочь производителям freeware.

Для всех интересующихся привожу прямую ссылку на относительно свежую статью от Comodo (25 August 2006) — как получить сертификат физическому лицу.

What type of documents do I need for validation?

https://support.comodo.com/index.php?_m=knowledgebase&_a=viewarticle&kbarticleid=430

Здравствуйте, ASX, Вы писали:

А>>Подделать подпись,

ASX>Не подделать подпись, а получить какой-нить сертификат, от наиболее лояльного выдавальщика серитификатов, на левую фирму. Думаю это не так сложно.
ASX>И потом подписывать этим левым сертификатом все что угодно, и никакая винда не пикнет.

Ну, как геморрой не называй — ощущения всё равно неприятные

Здравствуйте, serverside, Вы писали:

S>Не пикнет до поры до времени. А настучат — аннулируют серт, и пикнет.

Как пикнет? Для подписанной программы идет on-line проверка валидности?

"ASX" <49819@users.rsdn.ru> wrote in message news:2199871@news.rsdn.ru...
> Как пикнет? Для подписанной программы идет on-line проверка валидности?

Нет, но эта инфа время от времени идет с обновлением виндов (называется что-то типа обновления хранилища корневых сертификатов).

Здравствуйте, ASX, Вы писали:

ASX>Как пикнет? Для подписанной программы идет on-line проверка валидности?

Идет on-line проверка валидности сертификата. И если не стоит timestamp — вылезет предупреждение, что сертификат просрочен (если он просрочен, конечно).

Но я имел в виду другое — что добрые люди настучат, и аннулируют запись в корневом сертификате. А его винда обновляет каждый раз при Live Update.


--

S>А что, 100 баксов в год разве не символически низкая цена для фирмы?

Сотня за генерацию ключа — это просто запредельная цена.

Здравствуйте, Аноним, Вы писали:

А>Сотня за генерацию ключа — это просто запредельная цена.

Хотите зарабатывать денежку — платите денежку. Вот такая грустная правда жизни

Интересно, а можно сделать свой личный сертификат? Т.е. не платить никому деньги, не связываться в VeriSign и прочими, а самому сгенерировать SSL сертификат? Если да, то как?

Я понимаю, что Windows скажет, что сертификат "непроверенный", но это неважно.

Здравствуйте, uuu2, Вы писали:

U>Интересно, а можно сделать свой личный сертификат? Т.е. не платить никому деньги, не связываться в VeriSign и прочими, а самому сгенерировать SSL сертификат? Если да, то как?

U>Я понимаю, что Windows скажет, что сертификат "непроверенный", но это неважно.

Можно. http://www.cacert.org/

Здравствуйте, uuu2, Вы писали:

U>Интересно, а можно сделать свой личный сертификат?

Лехко. В серверной винде есть сервис, который может генерить сертификаты. Есть web морда для пользования этого сервиса.

Здравствуйте, serverside, Вы писали:

ASX>>Как пикнет? Для подписанной программы идет on-line проверка валидности?

S>Идет on-line проверка валидности сертификата.

Угу, а если нет он-лайна?

S>Но я имел в виду другое — что добрые люди настучат, и аннулируют запись в корневом сертификате.

Анулируют запись для всего certificate authority??? Т.е. кто-то обманул verisign или comodo, и получил левый сертификат, и за это verisign или comodo выкидывают из хранилища?

Здравствуйте, wellwell, Вы писали:

>> Как пикнет? Для подписанной программы идет on-line проверка валидности?

W>Нет, но эта инфа

Какая именно инфа? Это ключевой вопрос.


W>время от времени идет с обновлением виндов (называется что-то типа обновления хранилища корневых сертификатов).

Насколько я понимаю эту кухню, обновляются выдавальщики сертификатов. Или нет? Если нет, то это полный бред получается.

Doc>> "в наше время скачивать неподписанные EXE из интернета страшно"
от того, что хакер подпишет упертым с инета сертификатом — станет менее страшным?

А>Конечно Microsoft подложил разработчикам очередную свинью. А юзеры пускай привыкают. 90% freeware будут неподписанными.
если у вас нет kernel mode кода в составе продукта, можно сильно не бояться — compability Win32 API MSFT вынужден просто боле-менее будет поддерживать. А вот в противном случае — это да, может быть проблемой для шареваршиков и просто даже разработчиков.

ведь если кто не в курсе — на 64-битах с подписями все будет совсем интересно — неподписанные драйвера не будут разрешены, кроме как в отладочном режиме. А на висте (в т.ч. 32-битной !) так в принципе запрещены неподписанные драйвера. Пока что для подписи нужен Class 3 Commercial Software Publisher Certificate issued by Verisign. The necessary certification is only $500 (valid for a year)- конечно же для настоящих шареваршиков это не вопрос?

ладно ладно, не пугайтесь — насчет последнего момента MSFT еще не до конца определилась ибо большой негативный feedback идет из разных community. Вроде разработчиков ядра. Но мне кажется как максимум MSFT разрешит еще паре тройке CA выдавать искомые сертификаты выдавать (а не только Verisign) и на этом поблажки закончатся.

кстати, без такого сертификата нельзя больше софт submit to WHQL for testing. Плюс не принимаются на WHQL 32-битные драйвера без 64-битных в пару. Это все направлено на стимуляцию переезда на 64-бит, где можно будет с помощью сертификатов лучше MSFT свои планы реализовывать.

А>Это значит, что многие просто станут отключать назойливые предупреждения Висты. Уже вижу рекламу: Don't Get Mad, Disable annoying Vista pop-ups!
отключать самые надоедливые вещи можно вот так: Disabling User Account Control on Vista Если статьи с сайта не видно — надо зарегистрироваться — тогда все станет видно. Там очень много полезных вещей по Windows OS/kernel development, by the way.