Здравствуйте, niXman, Вы писали:

X>да. оттуда я должен брать значение CN? (Common Name)

как ты сюда приплел CN? речь о Subject, я же скриншот приложил и даже подчеркнул красным где там Subject

U>>у тебя там несколько сертов, не ошибись с выбором =))
X>у меня был только один .cer-файл, я его установил, и появились эти четыре пункта.
X>какой из них использовать?

предположу, что тот, где есть подстрока Timestamping
попробуй так:

signtool.exe sign /a /s MY /n "Thawte Timestamping CA" /fd sha1 /t http://timestamp.verisign.com/scripts/timstamp.dll /v "some.exe"

уточни Subject этого серта и замени при надобности

нашел в другом проекте использование signtool.exe, но так оно используется с .pfx-файлом.
при попытке экспортировать вижу такое окно:

т.е. пункт с .pfx есть, но он не активен. есть идеи, почему?

Здравствуйте, niXman, Вы писали:

X>т.е. пункт с .pfx есть, но он не активен. есть идеи, почему?

идея такая — ты его импортировал в систему без приватного ключа
в .pfx хранится пара, включая приватный ключ

Здравствуйте, uzhas, Вы писали:

U>как ты сюда приплел CN? речь о Subject, я же скриншот приложил и даже подчеркнул красным где там Subject
во-первых — у издателя на сайте нашел доку, и там в примерах "common name".
во-вторых — строка Subject не вмещается и форма не ресайзится:


U>попробуй так:
U>

U>signtool.exe sign /a /s MY /n "Thawte Timestamping CA" /fd sha1 /t http://timestamp.verisign.com/scripts/timstamp.dll /v "some.exe"

все так же:

SignTool Error: No certificates were found that met all the given criteria.

Здравствуйте, uzhas, Вы писали:

U>идея такая — ты его импортировал в систему без приватного ключа
U>в .pfx хранится пара, включая приватный ключ

думаю так же, ибо от издателя получили только один файл, и до сих пор не можем понять как нам получить и приватный ключ... а издатель со своей стороны не может понять зачем нам приватный ключ и тычет нам ссылкой на свою доку %)

Здравствуйте, niXman, Вы писали:

U>>как ты сюда приплел CN? речь о Subject, я же скриншот приложил и даже подчеркнул красным где там Subject
X>во-первых — у издателя на сайте нашел доку, и там в примерах "common name".
X>во-вторых — строка Subject не вмещается и форма не ресайзится:

а, вот откуда у тебя CN вылез
но это неважно, ключ /n принимает подстроку из Subject (это есть в хелпе для signtool, ссылку давал ранее). что видишь, то и вбивай в cmdline, главное — подстрока из Subject

X>все так же:
X>

X>SignTool Error: No certificates were found that met all the given criteria.

попробуй убрать "/s MY" и ключик "/a". винда у тебя русская, имя хранилища может быть не My, а что-то русское
перепроверь передаваемые параметры, сверься со справкой к signtool

Здравствуйте, uzhas, Вы писали:

U>попробуй убрать "/s MY" и ключик "/a".
убрал сначала "/s MY" а потом и "/a" — результат такой же.

U>винда у тебя русская, имя хранилища может быть не My, а что-то русское
а как узнать имя хранилища?

Здравствуйте, niXman, Вы писали:

X>сделал. импорт завершился умпешно.

ты не менял хранилище при импорте? выбрал хранилище по умолчанию? или все же выбрал какую-то папку в дереве?

Здравствуйте, uzhas, Вы писали:

U>ты не менял хранилище при импорте? выбрал хранилище по умолчанию? или все же выбрал какую-то папку в дереве?
эмм... я не помню =)

Здравствуйте, niXman, Вы писали:

X>убрал сначала "/s MY" а потом и "/a" — результат такой же.

хз тогда, телепатилка моя изнемогла

Здравствуйте, niXman, Вы писали:

X>все так же:
X>

X>SignTool Error: No certificates were found that met all the given criteria.

1. Попробуй просто:

signtool.exe sign /v "some.exe"

Signtool поищет среди установленных (импортированных в систему, тех что ты в mmc оснастке видишь) сертификатов найти хоть какой-то подходящий для подписи.

2.

signtool.exe sign /a /s MY /n "Thawte Timestamping CA" /fd sha1 /t http://timestamp.verisign.com/scripts/timstamp.dll /v "some.exe"

Это ну очень неправильная команда, потому как у тебя нет закрытого ключа парного тому что в сертификате "Thawte Timestamping CA". С неё ты ничего не подпишешь.

3. Всё это совершенно бессмысленные телодвижения в "*.cer" — "format supports storage of a single certificate. This format does not support storage of the private key or certification path."
У тебя нет закрытого ключа парного тому что в этом сертификате. Без закрытого ключа ты ничего не подпишешь. Сам ключ должен быть у того кто делал запрос на подпись сертификата у центра сертификации.

Здравствуйте, niXman, Вы писали:

X>привет!

если сертификат установлен в системе корректно, то должны выполняться такие команды для модуля x.exe

"C:\Program Files (x86)\Windows Kits\8.1\bin\x86\signtool.exe" sign /v /d "ProgName" /du "http://x.x.com" /fd sha1 /t http://timestamp.verisign.com/scripts/timstamp.dll x.exe
"C:\Program Files (x86)\Windows Kits\8.1\bin\x86\signtool.exe" sign /as /v /d "ProgName" /du "http://x.x.com" /fd sha256 /tr http://timestamp.comodoca.com/rfc3161 /td sha256 x.exe


у вас что пишет?

Здравствуйте, niXman, Вы писали:

X>Здравствуйте, uzhas, Вы писали:

U>>я никогда не покупал сертификаты, но предположу, что тебе дали и приватный ключ к нему (это и есть второй файл)
X>я тоже никогда не покупал. сертификат передал заказчик. он впервые купил сертификат и говорит что получил только один файл.

Тебе нужно или 2 файла, или PFX (который содержит оба — это как папка)

Заказчик скорее всего ошибается. То что он тебе послал (.cer) — это публичный ключ.
Для подписывания кода его недостаточно, код подписывается приватным ключем, которого у тебя похоже просто нет.
Неважно куда ты запихнешь .cer, приватный ключ от этого не появится.

Так что проси заказчика дать тебе приватный ключ.

Когда покупаешь сертификат, приватный ключ из соображений безопасности может устанавливаться напрямую или в браузер, или в систему, откуда его можно потом экспортировать.
В общем я бы спросил заказчика, где приватный ключ — пусть он попингует того кто выписал сертификат, если не знает.
Но скорее всего он у него в браузере или в системе, на том компе, с которого он сертификат заказывал.

То что у тебя его нет, можно проверить по иконке (они разные у сертификатов с приватным ключем и без приватного ключа)
Иконки сертификатов с ключем имеют этот самый ключ (иконка в верхнем левом углу):

Здравствуйте, niXman, Вы писали:

X>Здравствуйте, uzhas, Вы писали:

U>>идея такая — ты его импортировал в систему без приватного ключа
U>>в .pfx хранится пара, включая приватный ключ

X>думаю так же, ибо от издателя получили только один файл, и до сих пор не можем понять как нам получить и приватный ключ... а издатель со своей стороны не может понять зачем нам приватный ключ и тычет нам ссылкой на свою доку %)

Проверь на компе (в браузере) того, кто заказывал сертификат

для Google Chrome:
Settings -> Manage Certificates

Или (винда):

mmc /a
File -> Add remove snap-in.. -> Certificates -> My user account -> Add
Certificates -> Current user -> Personal

Возможно он там?

вобщем да, похоже заказчик потерял приватный ключ =)

прислали мне два файла:
csr.txt с приблизительно таким содержанием:

-----BEGIN CERTIFICATE REQUEST-----
MIIC4DCCAcgCAQAwgZoxCzAJBgNVBAYTAkNXMRMwEQYDVQQIDApXaWxsZW1zdGFk
...
xekfEqNad0z7q+gk51Iiz86fPuY=
-----END CERTIFICATE REQUEST-----

и rsa.txt с приблизительно таким содержанием:

-----BEGIN PRIVATE KEY-----
MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQC6dcAjWUCHYaUE
...
gsPvkpb/Dci2nDQbQV3pgPk=
-----END PRIVATE KEY-----

предположу, последний является приватным ключем?
как его использовать?

Здравствуйте, niXman, Вы писали:

X>предположу, последний является приватным ключем?
X>как его использовать?

перечитай ветку, тут вся инфа есть
1) csr.txt + rsa.txt -> .pfx
2) signtool + .pfx + tool.exe -> signed tool.exe

Здравствуйте, uzhas, Вы писали:

U>перечитай ветку, тут вся инфа есть
ок, читаю...

пробую так:

$ openssl.exe pkcs12 -inkey rsa.txt -in csr.txt -export -out my.pfx
unable to load certificates

и так:

$ openssl.exe pkcs12 -inkey csr.txt -in rsa.txt -export -out my.pfx
unable to load private key
4294956672:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:701:Expecting: ANY PRIVATE KEY

читаю дальше..

Здравствуйте, dead0k, Вы писали:

D>Да вроде можно и напрямую подписывать, но если хочется прямо через pfx, то
D>https://ru.godaddy.com/help/windows-install-codedriver-signing-certificate-and-create-pfx-file-2698

по ссылке говорится:

2. Expand Certificates (Local Computer), Personal.

но у меня нет такого, но есть:

и ничего не разворачивается..