Windows Vista 產品相容性講座 – 對可執行檔簽名 Code signing Procedure

從Windows 2000開始，微軟就開始在作業系統的模組上推行數位簽章，最早是在驅動程式中推行，不過一直都沒有特彆強調這一點。從Vista開始，微軟在x64位的系統上強制推行數位簽章，沒有經過WHDL和RDS認證並簽名的驅動程式將無法在Vista x64版本上載入。對於普通的應用程式來說，微軟也開始推行數位簽章，雖然沒有經過簽名的應用程式仍然可以在Vista上運行，但是如果ISV想通過微軟的logo認證，那麼就必須對所有的可執行檔進行數位簽章。在後續的Vista版本上，微軟會逐步加強對數位簽章的要求，最終要求所有的應用程式必須經過簽名才能在Windows系統上運行。當然，這是長遠目標，其中還有很長的路要走。

對於ISV來說，我們現在就應該做好數位簽章的準備。我在這裡就用一個簡單的例子來說明一下大概的過程，如果實際操作的話，會有不同的要求。第一步：你需要自己自己產生一個認證，並把其中的私密金鑰匯出備用。第二步：把產生的認證提交給第三方的認證機構，比如：Verisign，Thawte這些比較大的公司都提供相應的服務；提交的同時，這些機構會需要你提供一些資料以便認證你的身份。這個很好理解，因為他們需要在以後你使用認證的過程中對你的身份負責，所有他們必須首先認證你的身份。第三步：這些機構會給你提供一個Digital ID，對你的身份資訊提供認證。一般會用郵件的方式通知你。第四步：使用工具對你自己的可執行檔進行簽名。簽名完成以後就可以用認證發布你的產品了，那麼當程式在Vista上啟動並執行時候就會被認為是可以被識別的應用程式。以下是一個具體的例子：1）首先產生認證：

Makecert –sv dotnetchina.pvk –n “CN=dotnetchina.com.cn” –b 01/01/2006 –e 01/01/2008 dotnetchina.cert

說明：-sv dotnetchina.pvk 匯出私密金鑰到dotnetchina.pvk這個檔案中，以便我們在後面簽名的時候使用-n “CN=dotnetchina.com.cn” 指定這個認證的名字-b 01/01/2006 指定這個認證的開始日期為01/01/2006-e 01/01/2006 指定這個這個認證的結束日期為01/01/2008Dotnetchina.cert 把產生的憑證存放區在這個檔案中，其中包括了公開金鑰/私密金鑰對2) 現在你就可以提交認證到前面提到的這些機構進行認證了3) 認證完成，我們用獲得認證對可執行檔進行簽名用下面的命令把認證轉換為SPC (Software Publishing Certificate 軟體發行認證)               

 Cert2spc dotnetchina.cert dotnetchina.spc 最後，用下面的命令對exe進行簽名               

Signtool signwizard 這個命令會開啟以下的圖形介面，引導你完成簽名的過程：
Figure ：使用signtool 開啟簽名引導程式
Figure ：選擇要簽名的檔案
Figure ：選擇定製的方式，普通的簽名方式是使用在本機電腦上安裝的認證進行，因為我們簽名只產生了檔案認證，沒有匯入到本機電腦，所以不能使用這個選項。
Figure ：選擇產生的軟體發布認證檔案
Figure ：選擇剛才匯出的私密金鑰檔案，並提供密碼
Figure ：選擇密碼編譯演算法
Figure ：選擇其他選項以後，最終簽名完成 被簽名的可執行檔可以在屬性中找到“數位簽章”選項卡，其中會有簽名的列表。
Figure ：被簽名的檔案屬性
Figure ：對比一下沒有簽名的屬性卡 注意，只有被第三方認證的認證簽名，並提供完成的認證資訊才可以被Vista認為是可識別的應用程式，並顯示灰色的警告視窗，上面的過程僅僅是例子。 一些資源供大家參考：
Verisign: http://www.verisign.com
Thawte: http://www.thawte.com/ Verisign有關Window Logo認證的說明：http://www.verisign.com.au/codesigning/windesign.shtml
Verisign有關簽名過程的說明：http://www.verisign.com.au/codesigning/howitworks.shtml
http://www.verisign.com/support/code-signing-support/code-signing/identity-authentication.html
MakeCert的使用說明：http://msdn2.microsoft.com/en-us/library/bfsktky3(VS.80).aspx
SignTool的使用說明：http://msdn2.microsoft.com/en-US/library/aa906251.aspx 其他一些相關的文章：
http://www.enterprisedt.com/products/edtftpnetpro/doc/manual/privatekeyaccessproblems.html
http://www.inventec.ch/chdh/notes/14.htm

這裡所使用的工具大家都可以在Windows Server 2003 R2 Platform SDK中找到，可以從以下地址下載完整版：
http://www.microsoft.com/downloads/details.aspx?FamilyId=484269E2-3B89-47E3-8EB7-1F2BE6D7123A&displaylang=en