code-signing - 使用signtool签名代码时如何包括整个认证路径？

Question

使用 signtool 签名代码时，如何包含整个认证路径？

旧版的signtool将在数字签名中包含整个认证路径。现在，如果我使用signtool签署了一个可执行文件:

signtool.exe" sign /v /f avatar.pfx -t "http://timestamp.verisign.com/scripts/timstamp.dll" app.exe

签名无效:



这是因为没有认证路径:

使用较旧版本的signtool签名的二进制文件运行良好:

签名时，我该如何告诉符号代码包括整个认证路径？

签名二进制文件的正确方法是什么？

更新:SignTool版本6.1.7600.16385:

也可以看看

How can I sign an ActiveX control with a code signing certificate and be a verified publisher?

Signing WinForms ClickOnce app with Certificate Chain

ClickOnce: Certificate cannot be validated

Answer 1

使用/ac并传递证书 Root 于其中的.cer的文件名(对于Verisign，我上次在签名内核代码或其他特殊代码时检查的名称为MSCV-VSClass3.cer)。

signtool.exe sign /v /f "Avatar.pfx" 
      /ac "Thawte Code Signing CA - G2.cer" 
      -t "http://timestamp.verisign.com/scripts/timstamp.dll" app.exe

这应该由您的CA给出。通常，MS为Windows接受的各种CA提供捆绑软件。

看:

Windows root certificate program members 🕗

Cross-Certificates for Kernel Mode Code Signing 🕗

无论哪种方式，据我所知，仅内核代码和非常特定的其他内容(例如Windows安全中心)才需要这样做。