Windows:如何使用 Certum 颁发的证书对 exe 进行签名？

Question

我的目标是使用证书在 Windows 上签署未签名的可执行文件。根据我的常识，我知道我需要一个公钥和一个私钥对来进行数字签名。我还安装了 Windows SDK，它提供了 signtool.exe和 makecert.exe .

我已经在线获得了证书，包括 CER、PEM 和 CRT 文件。

我现在的问题是我必须如何使用这些工具和证书文件来签署可执行文件。根据here ，CRT文件就是私钥。根据我目前所了解的情况，CER 和 PEM 文件基本相同，但编码不同。他们有什么用？他们是公钥吗？我如何签署我的可执行文件？

编辑:我已经尝试将 CRT 文件安装到证书存储区，然后使用该证书进行签名:

"C:\Program Files (x86)\Windows Kits\8.1\bin\x64\signtool.exe" sign /debug /fd SHA256 /a /n "<Issued_To>" /t http://timestamp.comodoca.com/authenticode <Filename>

在这里<Issued_To>已替换为证书中的数据和 <Filename>是我要签名的文件的名称。我从 signtool 得到的输出如下:

The following certificates were considered:
    ...

    Issued to: ...
    Issued by: Certum Code Signing CA SHA2
    Expires:   Thu Oct 12 14:37:04 2017
    SHA1 hash: BA081A67D3F2DDDC9268121DCBA04F43D6CD37FB

    ...

After EKU filter, 1 certs were left.
After expiry filter, 1 certs were left.
After Subject Name filter, 1 certs were left.
After Private Key filter, 0 certs were left.
SignTool Error: No certificates were found that met all the given criteria.

Answer 1

为了物有所值，我为开源项目购买了 Certum Cloud Signing，以下是我如何使用它。 (我花了 5 个工作日的时间来处理邮件、尝试和错误，并在波兰文档上使用谷歌翻译，所以也许我为某人节​​省了一点时间)

您首先提供您的个人信息，收到激活 token 后，您只有 24 小时的时间来激活它。 (即使未指定此信息，也不要像我一样让时间流逝)，所以:

在看起来像这样的链接中使用“重新获得对 SimplySign 服务的访问权的 secret ”:https://cloudsign.webnotarius.pl/arc/app/resetseed?token= ...

在那里您将获得一个新代码，您应该在 SimplySign 移动应用程序(我相信是重置按钮)上使用该代码。

我无法在 Google Play 上找到 SimplySign 移动应用程序。所以我使用桌面浏览器找到应用程序(显示“此应用程序与您的设备不兼容”和/或国家/地区...)并使用 chrome 扩展程序下载 APK，然后手动安装到我的手机上。

设置移动应用程序后，它应该每分钟左右生成 6 位数的 token 。

现在在 Windows 上安装 SimplySign Desktop。使用您的电子邮件和手机中的 6 位数字 token 登录。一旦显示“状态:已连接”，它就安装了虚拟智能卡和您的证书。 SimplySign 必须保持连接才能使证书生效。

signtool.exe sign /n "Open Source Developer, Your Name" /fd SHA256 YourApp.exe

如果你不使用 /fd SHA256 你会得到:

SignTool Error: SignedCode::Sign returned error: 0x80090027
        The parameter is incorrect.
SignTool Error: An error occurred while attempting to sign: YourApp.exe 

如果您不登录 SimplySign，您将获得:

After EKU filter, 1 certs were left.
After expiry filter, 1 certs were left.
After Subject Name filter, 1 certs were left.
After Private Key filter, 0 certs were left.
SignTool Error: No certificates were found that met all the given criteria.

注意:无需安装 proCertum SmartSign 应用程序。