So sorgen Sie dafür, dass der Computer (oder Benutzer) signierter Software vertraut

Question

Ich habe eine Anwendung, die ich mithilfe eines von Thawte ausgestellten Codesignaturzertifikats mit der Zwischenzertifizierungsstelle Thawte Code Signing CA – G2 signiere und mit einem Zeitstempel versieht.

Die Signatur ist in Ordnung (wie in den Dateieigenschaften angezeigt) und Sie können die Zertifizierungskette anzeigen. Also ist alles in Ordnung.

Auf den meisten PCs klickt der Benutzer einfach auf die EXE-Datei und sie wird ausgeführt, aber unter Windows 7 mit den Standardeinstellungen erscheint JEDES MAL die Meldung „Datei öffnen – Sicherheitswarnung“. Darin wird angezeigt, dass die Datei signiert ist, dass der Herausgeber unser Unternehmen ist und dass der Benutzer dies überprüfen kann. Das ist nicht das, was wir wollen. Wir möchten, dass der Benutzer auf die Datei doppelklickt und loslegt. Ich habe unser Zertifikat in certmgr zu den „vertrauenswürdigen Herausgebern“ hinzugefügt und dann zu den „vertrauenswürdigen Stammzertifizierungsstellen“. Ich glaube, ich habe alle Kombinationen ausprobiert, die für mich Sinn machten. Trotzdem erhalte ich nicht das gewünschte Ergebnis.

Ich habe Google viel benutzt und fast 2 Tage damit verbracht, damit herumzuspielen, ohne dass ich überhaupt Fortschritte gemacht habe. Wie kann ich eine weitere Datei signieren, sie an den Computer senden und sie auf dieselbe bequeme Weise ausführen, als ob sie von Microsoft oder einem anderen großen Unternehmen entwickelt und veröffentlicht worden wäre?

Ich brauche eine allgemeine Lösung für alle Betriebssysteme der Windows-Familie ab Vista.

PS: Ich möchte keine Dateien entsperren, keine Registry-Hacks durchführen oder Sicherheitsstufen anpassen. Ich glaube, ich übersehe etwas bezüglich der Installationsorte der Zertifikate. Wenn nötig, fragen Sie einfach nach Code oder Einstellungen, und ich werde sie Ihnen gerne zur Verfügung stellen.

Answer 1

Sie müssen sie nicht nur zum lokalen Speicher unter „Vertrauenswürdige Herausgeber“ und „Vertrauenswürdige Stammzertifizierungsstellen“ hinzufügen, sondern auch die Gruppenrichtlinie entweder lokal oder auf Domänenebene bearbeiten, um Vertrauen zuzulassen.

Für SCUP/WSUS-Updates mit einem Codesignaturzertifikat habe ich unter /Administrative Vorlagen/Windows-Komponenten/Windows Update ein GPO verwendet, um „signierte Updates von einem Intranet-Speicherort des Microsoft Update Service zuzulassen“.

Bei Anwendungsinstallationen wird es an einem anderen Ort sein. Es sieht so aus, als ob es Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Richtlinien für öffentliche Schlüssel\Einstellungen für die Überprüfung des Zertifikatspfads sein könnte.

Schauen Sie sich Folgendes an: http://technet.microsoft.com/en-us/library/cc733026.aspx