Firma l'applicazione con un certificato nell'implementazione di ClickOnce

Question

Per la mia applicazione basata su Windows, vorrei utilizzare ClickOnce come tecnologia di distribuzione. La mia applicazione verrà distribuita via Internet.

Nell'articolo ClickOnce and Authenticode, ho letto che:

Per le applicazioni ClickOnce, è necessario disporre di un certificato Authenticode che è valido per la firma del codice. È possibile ottenere un certificato per il codice firma in uno dei tre modi:

1. acquistare uno da un fornitore certificato.

2. Ricevere uno da un gruppo dell'organizzazione responsabile della creazione di certificati digitali .

3. Generare il proprio certificato con MakeCert.exe, che è incluso con il Software Development Kit (SDK) di Windows.

Nel mio caso, il numero 2 non è applicabile.

come ho letto alcune righe più avanti:

Per impostazione predefinita, applicazioni ClickOnce firmati con auto-certs e distribuito su Internet non può utilizzare distribuzione di applicazioni attendibili.

(l'enfasi è mia.)

non riesco a capire il significato di questa di default. L'opzione n. 3 è possibile o no nel mio caso?

E poi, per capire tutte le possibilità, cosa implica il # 1? ("Acquistare uno da un venditore di certificati") Che tipo di certificato dovrei acquistare? Quale tipo di certificate authority può essere raccomandato? A seconda di cosa dovrei scegliere? Quanto costa un certificato?

Answer 1

Deve essere un "Certificato Microsoft Authenticode". Ci consente di firmare tutti i tipi di codice eseguibile e codice di Windows, inclusi .exe, .cab, .dll, .ocx e .xpi.

Non è obbligatorio firmare un'applicazione, ma se lo facciamo i nostri utenti non vedranno un messaggio di avviso che informa che l'autore del software è sconosciuto.

I certificati Microsoft Authenticode devono essere emessi da un'autorità di certificazione attendibile. Sfortunatamente, i prezzi sono piuttosto costosi. Ulteriori informazioni e alcuni esempi sono a pagina Microsoft Authenticode Certificates.

UPDATE ho acquistato il certificato attraverso KSoftware, che è un rivenditore Comodo. Il prezzo è abbastanza buono rispetto alle alternative: $ 95/anno.Il processo è più veloce di quanto mi aspettassi: ho fatto domanda al mattino e alla sera il mio certificato era già disponibile. (Per gli interessati, ho seguito this step-by-step guide.)

Answer 2

Vedere my answer to Stack Overflow question How to sign a ClickOnce application.

Suggerisco senz'altro di ottenere un certificato di firma del codice adeguato: la schermata di installazione dell'applicazione sembrerà molto più bella in questo caso. Personalmente, ho ricevuto il mio certificato di firma del codice da http://startssl.com - ed era pari a $ 100 in totale (e ottieni un certificato di dominio con caratteri jolly per il tuo sito web e un bonus). È molto più economico che andare con VeriSign o TrustWave.