30 ago 2022

Firma de código EV para Windows 7 y 8

Pre-requisitos:

• Certificado de Firma de Código de Validación Extendida de GlobalSign instalado en un token para hardware.
• Kit de Desarrollo de Software (SDK) de Windows para Windows 8.1
• Certificado cruzado(s) [Cross Certificate(s)]:

o    Los certificados EV de Firma de Código requerirán el Certificado Cruzado R1-R3

• Asegúrese de que los Certificados de CA (Raíz e Intermedio) estén instalados en el token junto con el certificado de firma de código EV para una firma de confianza
• Nota: El certificado R1-R3 Cross deberá instalarse en el equipo de firma, pero no se especificará como certificado adicional durante el procedimiento de firma.   

Opciones importantes de SignTool:

•  /ac  -  Especifique un certificado adicional.
•  /a  -  Selecciona automáticamente el mejor certificado para firmar el archivo desde el almacén de certificados de Windows.
• /fd SHA256  -  Especifique el algoritmo de resumen de archivos utilizado en la creación de firmas de archivo.
• /n "Certificate Common Name" Especifica el certificado para firmar el archivo desde el almacén de certificados de Windows con el nombre común del certificado.
• /t  -  Especifica un servidor de sellado de tiempo compatible con Microsoft Authenticode.
• /tr  -  Especifica un servidor de sellado de tiempo de confianza compatible con RFC 3161.*Recomendado*
• /td SHA256  -  Debe llamarse después de "/tr", este comando especifica el algoritmo de resumen marca de tiempo. *Recomendado*
• /sha1 Hash  - Se utiliza para seleccionar el certificado de firma por el hash SHA-1 (Huella digital) [Thumbprint].

Nota: Ponerle la marca de tiempo al Código es extremadamente importante y es muy recomendable para cada fragmento del Código que se firme. Este sellado de tiempo permitirá que el archivo que usted firma siga siendo válido mucho después de que el certificado en sí haya expirado.

Procedimiento:

Puede ver el video tutorial (en inglés) a continuación.

O bien, puede consultar el paso a paso a continuación:

1. Puede cerrar sesión en los archivos de un directorio de trabajo o colocarlos en la carpeta Windows SDK\bin.
2. Abra el símbolo del sistema: Windows 7: Inicio > Ejecutar > cmd, o para Windows 8, pulse la tecla Windows, luego escriba cmd y pulse enter.
3. Navegue hasta el directorio con signtool.exe.
4. Para la firma del controlador del núcleo (kernel), adquiera el certificado de Microsoft Code Signing Cross (vinculado en los requisitos previos) para GlobalSign y colóquelo en el directorio que esta trabajando.
5. Utilice el siguiente comando para firmar el archivo: signtool sign /a /tr http://timestamp.globalsign.com/?signature=sha2 /td SHA256 c:/path/to/your/file.exe

Nota: Para firmar el controlador del núcleo incluya el argumento "/ac GlobalSign Root CA.crt" al comando signtool para completar la cadena de certificados cruzados.

1. Introduzca su contraseña de token. Si la firma se realiza correctamente, verá un mensaje informándolo.
2. Para comprobar la firma correcta, utilice los siguientes comandos:
   
   Authenticode: signtool verify /v /pa
   Kernel Driver Signing: signtool verify /v /kp

 También puede verificar la firma dentro de las propiedades del archivo, en la pestaña Firmas Digitales.