13 oct. 2022

Firma de Código para Windows 7, 8 y 10

Introducción

Este artículo será el artículo predeterminado después de la implementación de los nuevos Requisitos Mínimos para la Firma de Código el 1 de febrero de 2017.

Prerrequisitos

• Certificado de firma de código de GlobalSign descargado e instalado en un token de hardware.
• Kit de Desarrollo de Software (SDK) de Windows para Windows 8.1
• Los pedidos SHA-256 también utilizan el Certificado cruzado R1-R3 – predeterminado el 31 de marzo de 2014 y después. (El certificado cruzado R1-R3 deberá instalarse en el equipo firmante, pero no especificarse como un certificado adicional durante el procedimiento de firma).

Opciones importantes de SignTool

• /ac - Especificar un certificado adicional.
• /a - Selecciona automáticamente el mejor certificado para firmar el archivo desde el Almacén de certificados de Windows.
• /n "Nombre Común del Certificado" Especifica el certificado para firmar el archivo desde el Almacén de certificados de Windows con el nombre común del certificado.
• /fd SHA256 - Especifique el algoritmo de resumen de archivos utilizado en la creación de firmas de archivos.
• /t - Especificar un servidor de marca de tiempo compatible con Microsoft Authenticode.
• /tr - Especifique un servidor de marca de tiempo de confianza compatible con RFC 3161. *Recomendado*
• /td SHA256 - Debe llamarse después de "/tr", este comando especifica el algoritmo de resumen TimeStamp. *Recomendado*

Nota: La marca de tiempo de su código es extremadamente importante y es muy recomendable para cada pieza de código que firme. 
Esta marca de tiempo permitirá que el archivo que firme siga siendo válido mucho después de que el certificado haya caducado.

URLs del Sello de Tiempo:
Basado en SHA-2: http://timestamp.globalsign.com/tsa/r6advanced1

Procedimiento

1. Puede cerrar la sesión de los archivos de un directorio de trabajo o colocarlos en la carpeta Windows SDKbin.
2. Abra el símbolo del sistema: Windows 7: Iniciar > Ejecutar > cmd, o para Windows 8 - 10, presione la tecla Windows, luego escriba cmd y presione enter.
3. Navegue hasta el directorio con signtool.exe.
4. Utilice el siguiente comando para firmar el archivo: 
   signtool sign /a /tr http://timestamp.globalsign.com/tsa/r6advanced1 /td SHA256 c:/ruta/a/su/archivo.exe
5. Ingrese su contraseña de token. Si la firma se logra con éxito, verá un mensaje que le informará de ello.
6. Para comprobar que la firma se ha realizado correctamente, utilice los siguientes comandos:
   Authenticode: signtool verify /v /pa
   Firma de Controlador en Kernel: signtool verify /v /kp

 También puede verificar la firma dentro de las propiedades del archivo, en la pestaña Firmas Digitales.