16 sept. 2022

Signature de Code sur Windows 7, 8 and 10

Introduction

Cet article sera l'article par défaut après l'implémentation des nouvelles exigences minimales pour la signature des codes le 1er février 2017.

Prérequis

• Certificat de signature de code GlobalSign téléchargé et installé sur une clé cryptograhique matériel.
• Kit de développement logiciel (SDK) Windows pour Windows 8.1
• Les commandes SHA-256 utilisent également le certificat croisé R1-R3 - par défaut le 31 mars 2014 et après. (Le certificat croisé R1-R3 devra être installé sur l’ordinateur de signature, mais pas spécifié en tant que certificat supplémentaire pendant la procédure de signature).

Options Importantes SignTool

• /ac  -  Spécifie un certificat supplémentaire.
• /a  -  Sélectionne automatiquement le meilleur certificat pour signer le fichier à partir de votre Magasin de Certificats Windows.
• /n "Certificat Nom Commun" spécifie le certificat pour signer le fichier à partir de votre Magasin de certificats Windows en utilisant le nom commun du certificat.
• /fd SHA256  -  Spécifie l'algorithme de digestion de fichiers utilisés dans la création de signatures de fichiers.
• /t  -  Spécifie un serveur d’horodatage compatible Microsoft Authenticode.
• /tr  -  Spécifie un serveur d’horodatage de confiance conforme au RFC 3161.*Recommandé*
• /td SHA256  -  Doit être appelé après "/tr", cette commande spécifie l'algorithme de digestion de l’horodatage. *Recommandé*                     

Remarque : L’horodatage de votre code est extrêmement important et est fortement recommandé pour chaque morceau de code que vous signez. Cet horodatage permettra au fichier que vous signez de rester valide longtemps après l’expiration du certificat lui-même.

Horodatage URLs:
SHA-2 based: http://timestamp.globalsign.com/tsa/r6advanced1

Procédure

1. Vous pouvez soit déconnecter les fichiers d’un répertoire de travail, soit les placer dans votre dossier Kit de développement logiciel (SDK) Windows\bin.
2. Ouvrez l’invite de commandes : Windows 7 : Démarrer > Exécuter > cmd ou, pour Windows 8 - 10, appuyez sur la touche Windows, puis tapez cmd et appuyez sur Entrée.
3. Accédez au répertoire avec signtool.exe.
4. Utilisez la commande suivante pour signer votre fichier: 
   signtool sign /a /tr http://timestamp.globalsign.com/tsa/r6advanced1 /td SHA256 /fd SHA256 c:/path/to/your/file.exe
5. Entrez le mot de passe de la clé cryptograhique. Si la signature réussit, vous verrez un message vous en informant.
6. Pour vérifier la signature réussie, utilisez les commandes suivantes:
   Authenticode: signtool verify /v /pa
   Signature Kernel Driver: signtool verify /v /kp

 Vous pouvez également vérifier la signature dans les propriétés du fichier, sous l’onglet Signatures numériques.