.exe signieren

[ls123456]

Hallo zusammen
Bin nicht ganz sicher ob das hier her gehört oder zu Anwendungen - Sicherheit.

Zu meiner Frage;
Ich habe eine .exe die ein Programm installiert, alles sicher, kein Virus oder sonstiges. Wenn ich das hochlade und ein Kunde ladet es herunter, hat er von jedem Browser zuerst die Meldung es ist evtl. unsicher da unbekannter Anbieter und dann beim Installieren nochmals diese Meldung auf Windows.

Ich möchte dass diese Meldungen nicht mehr auftreten.
Die einzige Möglichkeit ist somit die .exe signieren zu lassen. Habe sehr sehr viel darüber gelesen, meistens leider nur in english. Gibt es eine Möglichkeit das Zertifikat online zu bestellen und dass ich es online auch erhalte über einen Download beispielsweise, statt über ein USB-Stick der mir zuerst nach Hause geliefert werden muss? Ich will alles online lösen und nicht per Postversand.

Gibts da eine Möglichkeit?
Vielen dank!

 

[madmax2010]

Woher kommt das Programm denn. Was ist es.

Grundsätzlich: https://docs.microsoft.com/en-us/windows/win32/seccrypto/signtool?redirectedfrom=MSDN

 

[Questionmark]

In ein Zip- oder RAR-Archiv einpacken!?!?! Damit sollte zumindest das Herunterladen problemlos
klappen (Quelle sollte HTTPS sein, nicht nur HTTP).

 

[Marek72]

wenn das so einfach wäre seine Software signieren zu lassen dann hätte jeder Entwickler von Schadsoftware ja ein ziemlich leichtes Spiel.

 

[mcdexter]

Woher kommt das Programm denn. Was ist es.

Warum müssen Leute im Forum erst mal Gegenfragen stellen?
Ist wie wenn ich frage, warum mein Monitor nicht angeht und einer stellt die frage, ob ich einen Monitor überhaupt brauche oder ob das Stromkabel Schwarz oder Weiß ist.


Zum Thema.
Erster Treffer bei Google.

https://docs.microsoft.com/de-de/vi...iles-with-signtool-exe-clickonce?view=vs-2022

 

[Michael-Menten]

Wird normalerweise von dem gemacht, der dass Programm entwickelt. Soweit ich weiß gibt es auch keine kostenlosen Zertifikate, die von Windows anerkannt werden (anders als SSL mit let's encrypt)

 

[ls123456]

Danke für die Antworten leute. Diesen Beitrag habe ich ebenfalls gefunden mit signtool. Das kann man ja einfach selbst machen. Wieso findet man Varianten die man zahlen muss im Internet? Ich zahle ja auch gerne kein Problem. Aber das mit USB Stick Versand möchte ich vermeiden. Und ja es ist mein Programm, ich habe es entwickelt. Wenn ich so ein Zertifikat kaufe, wird zuerst meine Exe geprüft oder wie kann ich mir diesen Ablauf vorstellen?

Ergänzung (25. Dezember 2021)

In ein Zip- oder RAR-Archiv einpacken!?!?! Damit sollte zumindest das Herunterladen problemlos
klappen (Quelle sollte HTTPS sein, nicht nur HTTP).

Ja gute Idee, ich bin mir einfach nur nicht sicher ob jeder versteht wie man etwas entzippen kann, bzw. wenn die .exe Datei in der Zip Datei einfach nur doppel geklickt wird, dauert es meistens auch zuerst eine Weile bis das Setup erscheint. Ist auch nicht gerade eine kleine exe

 

[BFF]

Wenn Du Dir nicht sicher bist ob das jeder versteht mit dem Zip, dann gib denen eine Anleitung. 😉

 

[ls123456]

Wenn Du Dir nicht sicher bist ob das jeder versteht mit dem Zip, dann gib denen eine Anleitung. 😉

Ja das haben wir sowieso... Aber ja das mit dem Lesen ist so ein Ding... Bin mir gerade echt am überlege eine ZIP-Datei anzubieten...

 

[Michael-Menten]

Wenn ich so ein Zertifikat kaufe, wird zuerst meine Exe geprüft oder wie kann ich mir diesen Ablauf vorstellen?

Du kannst ein selbst signiertes erstellen zum Testen:
https://docs.microsoft.com/en-us/powershell/module/pki/new-selfsignedcertificate

Details hängt von der CA ab. In der Regel schauen die durch, dass deine Daten soweit stimmig aussehen und geben dir dann das Zertifikat inkl. private key.

 

[ls123456]

Du kannst ein selbst signiertes erstellen zum Testen:
https://docs.microsoft.com/en-us/powershell/module/pki/new-selfsignedcertificate

Details hängt von der CA ab. In der Regel schauen die durch, dass deine Daten soweit stimmig aussehen und geben dir dann das Zertifikat inkl. private key.

Danke! Das ist jetzt eine ganz andere vorgehensweise als der Link weiter oben auf deutsch?

 

[Michael-Menten]

Das ist nur der Befehl um sich das (test) Zertifikat zu erstellen, was du dann bei oben verlinkten tool verwendest.
Würde erstmal mit dem Testzertifikat üben bevor ich ein echtes kaufe.

 

[Enurian]

Danke! Das ist jetzt eine ganz andere vorgehensweise als der Link weiter oben auf deutsch?

Naja du musst dir die Sachen schon mal durchlesen. Oben im Link ist eine Anleitung, wie man unsignierte Software ausliefert, die dann der Kunde vor Ort mit seinem eigenen Zertifikat signieren soll.
Das würde etwa funktionieren, wenn du dein Programm einem Admin beim Kunden gibst, der so ein code sign certificate besitzt, das signiert und anschließend intern verteilt.

Ob das eine gangbare Lösung für dich ist, musst du beurteilen, ich schätze aber eher nein. "Schöner" ist es natürlich, wenn der Softwarehersteller selbst ein Zertifikat hat und es bereits signiert ausliefert.
Ein selbst erstelltes Zertifikat, wie oben verlinkt, bringt dir da effektiv gar nichts, weil es für den Kunden wertlos ist. Windows wird trotzdem meckern, da die trust chain unterbrochen / nicht vorhanden ist.
Damit die Kette abgenickt wird, musst du dir ein Zertifikat von einer certificate authority besorgen (ja, kostet Geld, z.B. 80€ / Jahr oder sowas) und damit dann deine binaries signieren.
Wir sind soweit ich mich richtig erinnere bei Comodo, die beschreiben hier genauer, wie das alles funktioniert:
https://comodosslstore.com/codesigning.aspx

Bisschen runterscrollen, da wird auch deine Frage bzgl. des Ablaufs beantwortet:

Step 2: Complete Verification and Download your Digital ID

Once you have completed the application process, Comodo will take a number of steps to verify your identity. For commercial publishers, Comodo does a considerable amount of background checking. As a result, it will take approximately 1-5 days to verify your information and issue a Digital ID.

At the end of this process, Comodo will send you an e-mail with instructions on how to download your Code Signing certificate.

Die werden also prüfen, dass es die Firma wirklich gibt, die du angibst, und dass du da arbeitest (solltest also keine private Mailadresse nutzen schätze ich).
Dauert paar Tage, dann kannst du das Zertifikat runterladen. Ab und an läuft das ab und dann musst du es erneuern, das ist dann aber einfacher.


edit: Weiter unten steht nochmal genauer, was bei der Verifizierung alles abgeht:

Validation Required​

Please note: This product requires you to complete Organization Verification, including Telephone Verification, as well as Identity Verification. You must submit a government-issued photo ID to Comodo for review. Additionally, your organization must be publicly listed on a third-party business directory site (Dun and Bradstreet, Yellow Pages, OpenCorporates, etc.) or you must be prepared to submit a Professional Opinion Letter to verify all required details. Comodo must be able to complete a telephone call with you to complete verification for your certificate. For more information, please review our Organization Validation for Code Signing Knowledgebase article.

 

[ls123456]

Vielen vielen Dank!!