тут уже было несколько подобных тем, но эту вроде не обсуждали. недавно обновил сертификат от ksoftware (comodo), чтобы поддерживал sha256. действовал по этой инструкции, подписал бинарник два раза (sha1 + sha256), чтобы везде работало, и начал тестировать.
на 10-й винде все в порядке, разве что smart screen ругнулся, но это вопрос траста — тут обсуждали.
на чистой 8-й винде все тоже запустилось без проблем.
на чистой 7-й винде приложение не запустилось, сказало, что автор доверия не вызывает. открыл свойства файла, пошел в цифровые подписи, открыл свойства подписи — винда подумала-подумала и сказала, что сертификат-то, в принципе, нормальный. после чего файл стал запускаться без проблем. то есть в процессе проверки винда что-то там себе доскачала, видимо, установила промежуточный или корневой сертификат и теперь моя новая подпись ее устраивает. прелесть, блин.
то есть если я правильно понял, новые комодовские сертификаты опираются на то, чего в чистой седьмой винде, видимо нет. а значит у пользователей есть неиллюзорный шанс полюбоваться табличкой "неизвестный автор, ну эту программу нафиг?". я все-таки надеюсь, что если на мою чистую винду из виртуалки накатить достаточное количество апдейтов, то может она начнет признавать новые сертификаты? windows update запускал, но он задумался слишком надолго, так что пока есть время спросить здесь
вобщем пока я остановился на таком решении: подписываю два раза, с sha-1 использую старый сертификат, а с sha-256 — новый. вроде пашет, но кто знает сколько это еще будет пахать. по идее старым сертификатом в этом году уже нельзя подписывать.
Здравствуйте, ov, Вы писали:
ov>вопрос: кто-то уже сталкивался? находил решение?
Может есть возможность включить в состав и промежуточные сертификаты? Ничего в этом не понимаю, хотя бинарники подписываю уже кучу лет.
Недавно перевыпустил у symanteс себе сертификат с sha256, экспортировал в pfx файл, как обычно. И что-то этот файл по размеру в два раза меньше получился, чем предыдущий, с sha1. Может в нём как раз не хватает промежуточных сертификатов каких-то. Пока не подписывал им ничего.
B>Может есть возможность включить в состав и промежуточные сертификаты? Ничего в этом не понимаю, хотя бинарники подписываю уже кучу лет.
я так понимаю, в моем случае корневой сертификат изменился. винда его подхватывает.
проверил не на чистой виртуалке, а на средне-чистой реальной машине с апдейтами — вроде запускается и с новым сертификатом. чистая седьмая винда в свойствах цифровой подписи видит просто подпись, а обновленная семерка и выше — видят обе подписи: и sha-1 и sha-256. то есть вроде как, если апдейтов накатить, то проблемы может и не будет...
в любом случае написал в поддержку, буду ждать ответа.
Здравствуйте, ov, Вы писали:
ov>вобщем пока я остановился на таком решении: подписываю два раза, с sha-1 использую старый сертификат, а с sha-256 — новый.
Comodo писал что старый(заменённый) сертификат будет действительным только 14 дней после замены. В статье по ссылке не сказано, что надо подписывать sha-1 со старым сертификатом, наверное, логично попробовать подписать новым. В любой случае держите в курсе расследования, внимательно слежу.
Здравствуйте, dimario31, Вы писали:
D>Здравствуйте, ov, Вы писали:
ov>>вобщем пока я остановился на таком решении: подписываю два раза, с sha-1 использую старый сертификат, а с sha-256 — новый.
D>Comodo писал что старый(заменённый) сертификат будет действительным только 14 дней после замены. В статье по ссылке не сказано, что надо подписывать sha-1 со старым сертификатом, наверное, логично попробовать подписать новым. В любой случае держите в курсе расследования, внимательно слежу.
Интересно, можно ли новым сертификатом SHA2 подписать используя алгоритм SHA1(для старых версий Windows), а затем еще раз подписать уже SHA2?
Здравствуйте, Matrix_Failure, Вы писали:
D>>Comodo писал что старый(заменённый) сертификат будет действительным только 14 дней после замены. В статье по ссылке не сказано, что надо подписывать sha-1 со старым сертификатом, наверное, логично попробовать подписать новым. В любой случае держите в курсе расследования, внимательно слежу.
M_F>Интересно, можно ли новым сертификатом SHA2 подписать используя алгоритм SHA1(для старых версий Windows), а затем еще раз подписать уже SHA2?
Andy Brice пишет, что можно. Я, собственно, после этого поста зашевелился и получил новый сертификат.
Здравствуйте, bolide, Вы писали:
B>Здравствуйте, Matrix_Failure, Вы писали: M_F>>Интересно, можно ли новым сертификатом SHA2 подписать используя алгоритм SHA1(для старых версий Windows), а затем еще раз подписать уже SHA2?
B>Andy Brice пишет, что можно. Я, собственно, после этого поста зашевелился и получил новый сертификат.
я тоже прочел этот пост и полез таки смотреть что у меня за алгоритм
и оказалось что уже 2 года как использую SHA2 сертификат
т.е. уже два года XP юзеры видят неподписанные бинарники, похоже что
how many people with Windows XP SP2 (an unsupported OS) are out there buying software?
I won’t be bothering to support signing for XP SP2.
Здравствуйте, bolide, Вы писали:
B>Andy Brice пишет, что можно. Я, собственно, после этого поста зашевелился и получил новый сертификат.
Так получилось подписать? Я попытался, сходу не вышло. Как можно понять нужен ключ /as , но с ним у меня выдает ошибку (signtool пришлось взять из Windows SDK 8.1) .
D>Так получилось подписать? Я попытался, сходу не вышло. Как можно понять нужен ключ /as , но с ним у меня выдает ошибку (signtool пришлось взять из Windows SDK 8.1) .
да, подписать можно. инструкция вот здесь. если вкратце, то надо скачать новый signtool (там есть ссылка или можно взять из Win SDK), а потом сделать вот это:
я попробовал подписать оба раза используя новый сертификат — мою абсолютно чистую седьмую винду это не устроило, пока я не полез в свойства файла. потом она скачала что-то и все стало ок. не очень чистая винда спокойно приняла такой подписанный файл. видимо с каким-то из апдейтов что-то приходит.
тогда я переключился на подпись как описано по ссылке — с двумя разными сертификатами. с sha-1 использовал старый, а с sha-256 — новый. такой подписанный файл моя чистая седьмая винда считает нормальным. но как было справедливо замечено выше, этому сертификату осталось жить 14 дней. наверное потом уже подписать не получится — файл будет невалиден.
ksoftware ответили, сказали, что они еще не сталкивались с какими-либо проблемами такого рода с новыми сертификатами, попросили прислать проблемный файл.
после внимательного перепрочтения всяких статей в инете, прихожу к выводу, что для WinXP SP3+ можно вообще не заморачиваться с sha-1, но винда должна быть более-менее обновленной, чтобы понимать sha-256. с семеркой у меня это пока сходится, с XP пока не очень. но сколько ее той XP...
Здравствуйте, ov, Вы писали:
ov>да, подписать можно. инструкция вот здесь. если вкратце, то надо скачать новый signtool (там есть ссылка или можно взять из Win SDK), а потом сделать вот это:
Спасибо тебе дружище! перепробовал кучу signtool , а ссылку то на скачку и не заметил. С этим signtool все сработало. Попробовал, действительно, чистая 7 винда и XP видит только sha1 , но это же зашибись, то что и нужно. Какие тут могут быть опасения ?
D>Попробовал, действительно, чистая 7 винда и XP видит только sha1 , но это же зашибись, то что и нужно. Какие тут могут быть опасения ?
ну вобщем-то да. если винда более-менее обновляемая, то она увидит и sha-256 и там будут новые корневые сертификаты, как мне сказали в ksoftware. а вот если винда не обновлялась вообще, как в моем случае с семеркой в виртуалке, то в ней нет ни корневых сертификатов, на которые опирается новый sha-256 сертификат от comodo, так и нет кода, который понимает sha-256 как таковой.
то есть если семерка девственно чиста, то с новым сертификатом от комодо можно подписывать хоть один, хоть два раза — не поможет. нет кода для sha-256, нет корневых сертификатов и для sha-1 и sha-256.
если семерку обновляли, то можно не заморачиваться с sha-1 вовсе, так как она увидит sha-256 и у нее будет нужный корневой сертификат
чтобы работало на чистой семерке, мне пришлось подписать старым комодовским сертификатом с sha-1 и новым с sha-256. корневой сертификат моего старого сертификата голая винда знает, так что проблем вроде как тоже нет.
в моем конкретном случае, к сожалению, срок действия старого сертификата истекает в августе этого года, так что для меня это конкретно решение будет работать еще семь месяцев. у тебя может быть на пару лет побольше, тогда хорошо — я бы так и подписывал, как выше написал. я, наверное, пока тоже буду подписывать двумя. потом перейду на один sha-256. вариантов не особо много остается.
кстати, спросил у ksoftware насчет Smart Screen — как с ним бороться. вот ответ:
SmartScreen is a reputation based filter/scanner so they're just seeing the new file with the new signature as new (which it is), but there is a relatively easy way around that and you only have to do it once. All you need to do is use IE or Edge and download the untrusted file. When the SmartScreen warning comes up click “More” or “More Info” and “Run Anyway”. Do that about 10-15 times and in an hour or so after that the messages go away. Make sure you're downloading your signed file though, this only works if the downloaded file is signed. Once one of your signed files gains reputation, any other file you sign will share in that.
то есть раз 10-15 скачать эксплорером файл и разрешить его запуск в smartscreen. через часок должно полегчать. пока не пробовал, попробую сегодня-завтра.
Здравствуйте, ov, Вы писали:
B>>Может есть возможность включить в состав и промежуточные сертификаты? Ничего в этом не понимаю, хотя бинарники подписываю уже кучу лет.
ov>я так понимаю, в моем случае корневой сертификат изменился. винда его подхватывает.
ov>проверил не на чистой виртуалке
Попробуй посмотреть на подпись на чистой w7, отключенной от сети. Оно тебе покажет какой именно сертификат не устраивает. Если это таки intermediary, то его можно в signature файла добавить.
ov>в моем конкретном случае, к сожалению, срок действия старого сертификата истекает в августе этого года, так что для меня это конкретно решение будет работать еще семь месяцев. у тебя может быть на пару лет побольше, тогда хорошо — я бы так и подписывал, как выше написал. я, наверное, пока тоже буду подписывать двумя. потом перейду на один sha-256. вариантов не особо много остается.
хотя вот тут я не прав
старый сертификат отзовут через две недели после обновления до sha-256, так что подписывать с sha-1 можно будет только новым. но смысла подписывать им особо нет, так как голая винда все равно не имеет нужных корневых сертификатов, а обновленная винда уже знает sha-256. так что походу надо просто тупо подписывать sha-256 и надеяться, что пользователи обновляют винду.
а вот если у тебя sha-1 сертификат не протухает из-за обновления на sha-256, тогда вполне имеет смысл подписывать ими обоими. начиная с 2016 года подпись с sha-1 будет считаться невалидной, но винде, чтобы об этом узнать, надо обновиться. обновленная винда сможет прочитать sha-256. а необновленная будет счастлива со старым sha-1.
Здравствуйте, шароварный желудь, Вы писали:
ШЖ>Здравствуйте, bolide, Вы писали:
ШЖ>т.е. уже два года XP юзеры видят неподписанные бинарники, похоже что ШЖ>
how many people with Windows XP SP2 (an unsupported OS) are out there buying software?
ШЖ>I won’t be bothering to support signing for XP SP2.
ШЖ>из вышеприведенной статьи звучит вполне разумно.
Проблема не в XP. Проблема с древними Windows Server 2003, которые еще встречаются потому как "оно работает, зачем его трогать". Для этих случаев есть MS hotfix... хотя может Микрософт его и убрал уже.
W>Попробуй посмотреть на подпись на чистой w7, отключенной от сети. Оно тебе покажет какой именно сертификат не устраивает. Если это таки intermediary, то его можно в signature файла добавить.
во, интересно. смотри, вот с отключенной сетью:
картинка
а вот — с включенной:
картинка
на чистой винде сертификата "The USERTrust Network" нет, он появляется после онлайн-проверки подписи файла. так что, видимо, твоя идея не сработает
Здравствуйте, ov, Вы писали:
D>>Попробовал, действительно, чистая 7 винда и XP видит только sha1 , но это же зашибись, то что и нужно. Какие тут могут быть опасения ?
ov>то есть если семерка девственно чиста, то с новым сертификатом от комодо можно подписывать хоть один, хоть два раза — не поможет. нет кода для sha-256, нет корневых сертификатов и для sha-1 и sha-256.
Возможно я не прав, но если мы подписывает новым сертификатом используя sha-1, то все нормально определяется, как sha1 подпись, на чистой 7 винде или на XP. Моя тест: я подписал два раза новым сертификатом(sha1 и sha256). у меня семерка виртуалка чистая(вроде бы, она вообще не активированная даже) видит только sha1 сертификат и все, т.е. в свойствах файла она показывает наличие только одного sha1 сертификата. Но этого достаточно. Зачем ей знать про sha256, если она видит sha1 и считает его доверенным ?
D>у меня семерка виртуалка чистая(вроде бы, она вообще не активированная даже) видит только sha1 сертификат и все, т.е. в свойствах файла она показывает наличие только одного sha1 сертификата. Но этого достаточно. Зачем ей знать про sha256, если она видит sha1 и считает его доверенным ?
у меня то же самое, видит только sha-1, но сертификат, которым подписан файл (даже через sha-1), ссылается на корневой сертификат, которого на чистой винде нет. посмотри мое предыдущее сообщение с картинками. если я просто запущу такой файл на чистой семерке — она скажет, что автор неподтвержден. если посмотрю свойства сертификата, то она потормозит (скачает промежуточные и новый корневой сертификат) и скажет, что все ок. после чего я без проблем могу запускать этот файл на той же чистой винде. и это вне зависимости есть там sha-1 подпись или нет, то же поведение и с sha-256. если у тебя не так — смотри цепочку родительских сертификатов для своего сертификата. возможно она у тебя другая и корневой сертификат присутствует в винде изначально.
Здравствуйте, ov, Вы писали:
ov> если у тебя не так — смотри цепочку родительских сертификатов для своего сертификата. возможно она у тебя другая и корневой сертификат присутствует в винде изначально.
Сертификат походу точно такой же. Наверное у меня уже "подкачалось", что нужно, проверю позже на чистой семерке, спасибо за информацию.
Здравствуйте, wantus, Вы писали:
W>Здравствуйте, шароварный желудь, Вы писали:
ШЖ>>Здравствуйте, bolide, Вы писали:
ШЖ>>т.е. уже два года XP юзеры видят неподписанные бинарники, похоже что ШЖ>>
how many people with Windows XP SP2 (an unsupported OS) are out there buying software?
ШЖ>>I won’t be bothering to support signing for XP SP2.
ШЖ>>из вышеприведенной статьи звучит вполне разумно.
W>Проблема не в XP. Проблема с древними Windows Server 2003, которые еще встречаются потому как "оно работает, зачем его трогать". Для этих случаев есть MS hotfix... хотя может Микрософт его и убрал уже.
а я вот не помню, в 2003 оно ругается или нет на неподписанное?
и насколько сильно пересекаются подмножества пользователей которые сидят на неподдерживаемой ос
и те что парятся насчет подписей файлов
я после того как сам того не подозревая перешел 2 года назад на sha-256 просадок по продажам не заметил никаких, притом что количество ордеров и продуктов — с претензией на репрезентативность.
D>Сертификат походу точно такой же. Наверное у меня уже "подкачалось", что нужно, проверю позже на чистой семерке, спасибо за информацию.
судя вот по этой статье, винда обновляет свой список корневых сертификатов раз в неделю.
The Windows Root Certificate Program enables trusted root certificates to be distributed automatically in Windows. Usually, a client computer polls root certificate updates one time a week. After you apply this update, the client computer can receive urgent root certificate updates within 24 hours.
так что если комп в сети, то сертификаты там будут. если он без апдейтов по какой-то причине, то имеет смысл подписать sha-1/sha-256, чтобы винда была счастлива. если апдейты есть, то хватит и одного sha-256.
посмотрел софт, установленный на рабочем компе: почти у всех только sha1 пока. исключения: гугл хром и майкрософтовские программы — там sha-1/sha-256. думаю сделать обе подписи будет на данном этапе правильнее.
А я заметил, что у моего нового сертификата comodo промежуточный и корневой сертификат имеет подпись sha384.
Не знаю, что за зверь, но если на старых вендах не было поддержки даже sha256, то и sha384 там вряд-ли поддерживался.
и возможно делать двойное подписывание, включающее sha1 таким сертификатом смысла нет.
А старый sha1 сертификат протухнет через 14 дней.
Интересно, а остались еще товарищи, которые разрабатывают в WinXP? Новый signtool, который умеет sha256, не запускается у меня в XP совсем. Такой вот сюрприз.
Неужто пришло время променять обустроенную годами привычную виртуалочку с WinXP на виртуалку с Win7, где всё ставить и настраивать заново (ААА!!!)?
Или всё-таки как-то можно запустить signtool 6.3.96 на WinXP?
