Code signing mit startssl

Transkript

1 Code signing mit startssl Auf der Suche nach einem Anbieter, bei dem ich ein mit Windows 7 nutzbares und günstiges Zertikat erwerben kann bin ich über StartSSL gestolpert. Dort bekommt man ein class 2 Zertifikat für 49 USD welches 2 Jahre gültig ist. Im Gegensatz zu anderen Anbietern (80 USD für ein Jahr von einem Comodo Reseller) ist das ein wahrer Spottpreis. Start Commercial (StartCom) Ltd. ist bei Microsoft als Windows Root Certificate Program Member gelistet. Die Zertifikate werden also mit Windows als Stammzertifikate ausgeliefert. Wozu braucht man nun ein solches Zertifikat? Das Zertifikat garantiert die zweifelsfreie Herkunft einer Datei/Software (in meinem Fall eine setup.exe). Für den normalen Benutzer macht sich das beim Doppelklick auf die entsprechende Datei unter Windows 7 so bemerkbar: Ohne Zertifikat: Mit Zertifikat:

2 Da ist die zweite Variante für den Softwarehersteller doch wesentlich angenehmer. Der Nutzer kann sofort erkennen, wer der Herausgeber der Software ist. Mit einem Rechtsklick auf die Datei können über die Eigenschaften weitere Details der digitalen Signatur eingesehen werden: Um nun an ein solches Zertifikat zu kommen muss man sich zuerst bei StartSSL registrieren. Man bekommt nach der Angabe der persönlichen Daten eine mit einem Validierungscode zugeschickt. Das Fenster des Browsers darf zwischen

3 Adresseingabe und Eingabe des Validierungscodes nicht geschlossen werden. Auch darf keine andere Webseite aufgerufen werden. Ich benutze den Firefox für die Anmeldung. Das Zertifikat was man nun von StartSSL bekommt wird im Browser installiert und dient zur Anmeldung bei StartSSL. Das Zertifikat sollte aus dem Browser heraus gesichert und mit Passwort versehen werden (Extras -> Einstellungen -> Erweitert -> Verschlüsselung -> Zertifikate anzeigen -> Ihre Zertifikate -> StartCom). Nach der Registrierung bei StartSSL per folgt der nächste Schritt der Validierung. Dazu geht man im Control Panel von StartSSL auf den Validations Wizard. Als Type wählt man Personal Identity Validation (Achtung: Das kostet 49 USD!). Man benötigt dafür mindestens 2 Dokumente als Image, die als Identitätsnachweis gelten. Ich habe hier Personalausweis und Führerschein genutzt. Bezahlt habe ich per Paypal, weil es entsprechend schnell ist. Circa eine halbe Stunde nach diesem Schritt rief ein Mitarbeiter von StartSSL an und fragte (auf englisch) nach Geburtsdatum und Geburtsort. Wiederum eine halbe Stunde später konnte ich Code signing Zertifikate erstellen: Bevor ich erkläre, wie man nun an das begehrte Zertifikat kommt, ein kurzer Hinweis zu den Tools die ich dafür benutzt habe: OpenSSL in der 64Bit Version, da Windows 7 64Bit Notepad um die Zertifikatsinhalte zu kopieren Das Programm signtool.exe für das signieren einer Datei liegt im Verzeichnis des Windows SDK s. Installiert wird es z. B. u. a. mit dem Visual Studio 2010 Teile dieser Anleitung stammen aus einem Beitrag im StartSSL Forum Nachdem man die Tools auf seinem Rechner installiert hat, startet man die Konsole mit cmd und wechselt in den bin Ordner von OpenSSL (bei mir C:\OpenSSL\bin). Dann gibt man folgenden Befehl ein: openssl req -new -newkey rsa:2048 -keyout mykey.pem -out myreq.pem Das Programm fragt nun nach Passwort, Länderkürzel, Bundesland, Stadt, Name der Organisation, Abteilung, Namen, Adresse sowie zwei optionalen Angaben. Wenn man alles mit Enter bestätigt hat erstellt OpenSSL im bin Ordner die Dateien mykey.pem und myreq.pem. Die myreq.pem öffnet man anschließend mit Notepad und kopiert den Inhalt in die Zwischenablage.

4 Dann wechselt man wieder auf die Seite von StartSSL und ruft im Control Panel den Certifikates Wizard auf. In der Auswahlbox wählt man Object Code Signing Certificate (beta). In die folgende Textbox wird der Inhalt der myreq.pem kopiert bzw. aus der Zwischenablage eingefügt. Wenn man den Assistenten durchlaufen hat wird einem am Ende das erstellte Zertifikat angezeigt. Dies wird ebenfalls in eine Textdatei kopiert und dann unter z. B. mycert.crt gespeichert. Mit einem Doppelklick auf die Datei kann man sich das erstellte Zertifikat unter Windows ansehen und auch direkt installieren: Für das signieren einer Datei mit signtool.exe muss das Zertifikat allerdings als PFX-Datei vorliegen. Um eine PFX Datei über StartSSL zu erstellen, wählt man im Control Panel zuerst Decrypt Private Key im Register Tool Box. Dann fügt man den Inhalt der mykey.pem in die Textbox und nutzt das Passwort, welches man unter OpenSSL angegeben hat. Nach dem decrypten speichert man die angezeigte Zeichenfolge in einer Textdatei z. B. tmp.txt. Weiter geht s im Control Panel unter Tool Box mit Create PKCS12 (PFX) File. Der Inhalt aus der oben erstellten tmp.txt kommt in die erste Textbox, der Inhalt aus der mycert.crt Datei kommt in die zweite Textbox. Anschließend ein Passwort eingeben und dann die p12 Datei herunterladen und in dateiname.pfx umbenennen.

5 Der krönende Abschluss ist die Signierung einer Datei. Um den Prozess etwas zu vereinfachen habe ich das Zertifikat (PFX-Datei) sowie die zu signierende exe-datei in den Ordner der signtool.exe kopiert. Nun startet man die Konsole und wechselt in diesen Ordner. Mit dem Befehl: signtool.exe sign /v /d Beschreibung der Datei /f dateiname.pfx /p passwortxyz /tr zusignierendedatei.exe wird die datei signiert. Die erfolgreiche Signierung wird auf der Konsole angezeigt: