EV证书代码签名的必要性

EV证书代码签名的必要性

介绍

在当今的数字时代，软件安全越来越受到关注。 对于客户端开发者来说，使用EV()证书对软件进行代码签名是保证用户信任、防止恶意攻击的关键环节。 本文将讨论EV证书代码签名在桌面软件开发过程中的必要性，未签名可能出现的问题，以及签名过程中可能出现的问题及解决方法。

EV证书代码签名的必要性

EV证书代码签名可以保证用户在下载和安装软件时可以确认软件的来源和完整性。 通过签名，可以降低操作系统对软件的风险提示，提高用户的信任度。

运行未签名软件时，可能会提示操作系统存在风险。 尤其是10以后的版本，对未签名的软件会有更严格的限制。 当用户尝试安装或运行此类软件时，他们可能会看到来自网站的警告消息，提示该软件可能存在安全风险。 这种情况会导致用户对软件的安全性产生疑虑，降低软件的使用率。

签约过程中的问题及解决办法

在使用EV证书进行代码签名的过程中，可能会遇到一些问题。 下面是两个主要问题和相应的解决方案：

USB Key需要插入物理机

购买EV证书后，证书提供商会提供一个实体的USB Key，里面存储了证书信息。 为保证证书的安全，需要将USB Key插入物理机进行代码签名。 但是，开发者在使用远程桌面时，可能会发现无法正常加载Key中的证书。

例如使用的Token 5110 USB Key，软件提示“No Token ”如图，但实际上右下角显示USB设备弹窗提示“Eject Token JC”，管理器还正常显示“智能卡读卡器”设备。 , 但软件仍然无法识别 USB Key。

解决方法是确保USB Key插入到物理机中。 如果必须使用远程桌面，请在远程桌面设置中为 USB 设备启用本地资源共享。 这样就可以在远程桌面中正常加载和使用USB Key中的证书了。 需要注意的是，这种方式可能会增加证书的安全风险，所以要保证远程连接的安全。 还有一种方法就是不使用默认的远程桌面工具，而是使用第三方的远程工具，但是这样也会增加安全隐患。

开发程序的代码签名需要对编译过程中产生的所有文件进行签名

对于使用框架开发的程序，在进行代码签名时，需要对编译过程中产生的所有文件进行签名。 这包括主程序、动态链接库 (DLL) 和其他相关资源文件。 如果任何文件未签名，软件可能会提示操作系统存在风险。

作为解决方法，在编译期间，确保所有生成的文件都已签名。 可以在构建配置文件中加入签名选项，自动对生成的文件进行签名（-在配置文件中，证书名加上 me 和 ture）。 同时确保使用正确的EV证书和私钥信息，避免签名失败或被识别为无效签名。

注意：所有密码必须在密码输入提示框提示后15秒内输入。

中文证书需要在签名中配置正确的编码

在客户端进行代码签名时，需要执行$edit配置文件，添加如下信息：

$OutputEncoding = [console]::InputEncoding = [console]::OutputEncoding = New-Object System.Text.UTF8Encoding

注意：如果没有配置过，需要先执行New-Item -Path $ -Type File -Force 然后用$编辑配置文件。

否则可能无法正常匹配中文名称的EV代码签名证书。

执行 Get-- Cert: - 查看当前的代码签名证书列表。

使用签名时注意版本号

写这篇文章时——最新版本是v23.6.0，需要用Win10自带的版本进行签名（执行$获取版本信息）：

Name                           Value
----                           -----
PSVersion                      5.1.19041.2673
PSEdition                      Desktop
PSCompatibleVersions           {1.0, 2.0, 3.0, 4.0...}
BuildVersion                   10.0.19041.2673
CLRVersion                     4.0.30319.42000
WSManStackVersion              3.0
PSRemotingProtocolVersion      2.3
SerializationVersion           1.1.0.1

经测试，在最新的跨平台无法正常签名：

Name                           Value
----                           -----
PSVersion                      7.3.3
PSEdition                      Core
GitCommitId                    7.3.3
OS                             Microsoft Windows 10.0.19045
Platform                       Win32NT
PSCompatibleVersions           {1.0, 2.0, 3.0, 4.0…}
PSRemotingProtocolVersion      2.3
SerializationVersion           1.1.0.1
WSManStackVersion              3.0

其他可能的问题

除了上述问题，开发者在EV证书代码签名过程中还可能遇到以下问题：

证书有效期：EV证书通常有一定的有效期。 证书过期后，已签名的软件可能会提示操作系统存在风险。 因此，EV证书需要定期更新，以保证其在有效期内。 证书提供者的信任：不同的证书提供者对操作系统的信任程度可能不同。 选择知名且值得信赖的证书提供商有助于提高签名软件的可信度。 签名工具的兼容性：使用不同版本的操作系统和签名工具时可能会遇到兼容性问题。 请务必使用适合当前操作系统的签名工具，并注意工具的更新信息，避免因工具问题导致签名失败。 网络连接问题：在进行代码签名时，签名工具可能需要连接到证书提供商的服务器才能完成时间戳服务。 网络连接问题可能会中断签名过程。 确保你在签名过程中有稳定的网络连接，并考虑配置备用时间戳服务器以提高签名成功率。总结

总之，对于客户端开发者而言，EV证书代码签名是保证软件安全、提高用户信任度的关键。 通过解决签名过程中可能遇到的问题，开发者可以保证软件的签名有效，为用户提供安全可靠的应用体验。 在数字时代，保护用户信息安全和隐私是每一个开发者的责任和义务。