Come utilizzare un certificato di firma del codice EV su una macchina virtuale per firmare un MSI

Question

Recentemente abbiamo acquistato un certificato di firma del codice EV da DigiCert per firmare il nostro MSI per aggirare il messaggio di avviso di Windows SmartScreen. Il problema è che il certificato è stato consegnato a un token USB che non consente l'esportazione della chiave privata. Il nostro ambiente di sviluppo è su una VM ospitata, quindi non c'è modo di collegare il token USB alla VM host.

Qualcuno ha una soluzione per l'utilizzo di un certificato di firma del codice EV su una macchina virtuale ospitata? Tutti i fornitori di certificati consegnano questo tipo di certificato a un token hardware? Come si firma codice un MSI in un ambiente virtuale utilizzando questo tipo di certificato?

Answer 1

I certificati di firma del codice EV sono necessari per utilizzare l'hardware speciale per memorizzare la chiave privata. Ciò fa parte di ciò che li rende più costosi e più sicuri rispetto ai certificati standard. Il mio suggerimento sarebbe quello di firmare l'eseguibile sulla macchina host utilizzando il file signtool.exe come passo post-build.

I certificati di firma del codice normale non hanno i requisiti hardware, ma non sono come "SmartScreen Filter Friendly" come i certificati EV.

Answer 2

Alcuni software di virtualizzazione incluso VMware consentono di reindirizzare i dispositivi USB.

Answer 3

Non ho avuto assolutamente nessun problema con il nostro. Siamo passati da un certificato di firma del codice standard supportato da PFX (file) a un certificato di firma del codice EV supportato da token USB in meno di 15 minuti.

ho semplicemente impostare il dispositivo token USB per la connessione al cliente sistema operativo in VMWare (vedi icone nella parte inferiore destra della finestra di sistema operativo client per i dispositivi), installati i driver di periferica necessario, impostare le opzioni per richiedere una password per sbloccare solo una volta per sessione, quindi erano buoni per andare.

Per quanto riguarda COME firmare, si firma proprio come si farebbe con qualsiasi altro certificato. Se nessun altro certificato di firma del codice applicabile si trova nell'archivio certificati del sistema operativo, , non è nemmeno necessario specificare dove è il certificato.

Mi preoccupavo che avremmo avuto problemi, ma non l'abbiamo fatto. Quindi, non penso che lo farai, e non so perché avresti problemi.

Answer 4

Per chiunque abbia avuto questo problema, abbiamo utilizzato VNC Server per connettersi alla VM su cui era presente il token. Non ha funzionato su RDP solo VNC.

Apparentemente, VNC è come avere l'accesso alla console (per quanto riguarda il dvd RV).