Cómo verificar que la marca de tiempo se hace correctamente para el código firmado

Question

Acabo de recibir mi certificado de firma de código de StartSSL y estoy intentando firmar nuestro instalador.

El proceso de firma va bien y obtengo un instalador que Windows ya no se queja de ser de un editor desconocido. ¡Esto es genial!

Sin embargo, traté de asegurarme de que el sellado también funciona según lo anunciado, así que cambié la fecha de mi PC a 2012, después de la fecha de vencimiento de mi certificado de firma de código.

Esto supuestamente no debería hacer ninguna diferencia, pero cuando ejecuto el mismo instalador exe ahora recibo la misma desagradable advertencia de "editor desconocido".

Al observar las propiedades del archivo ejecutable en la pestaña Firmas digitales, definitivamente puedo ver que la marca de tiempo muestra hoy (2010) pero esto no parece ayudar en absoluto.

Google no me dio nada, excepto que si ve la fecha en el campo Marca de tiempo, entonces todo está bien. No puedo creerlo, mi PC con fecha avanzada se queja de que no está bien.

¿Alguien sabe si este concepto de marca de tiempo funciona en absoluto y cómo asegurarse de que estoy firmando el ejecutable correctamente?

Gracias.

Answer 1

Lo siento, no tengo una respuesta para usted, pero parece que no debería estar viendo el comportamiento que usted es, de acuerdo con Comodo's Instant SSL FAQ.

es un código válido sellos de tiempo después de un Código certificado de firma expira?
La marca de tiempo asegura ese código no caducará cuando expire el certificado. Si su código es con marca de tiempo, la firma digital es válida aunque el certificado haya expirado . Es necesario un nuevo certificado solo si desea firmar el código adicional . Si no usó la opción de marca de tiempo durante la firma , debe volver a firmar su código y volver a enviarlo a sus clientes.

Comodo parece ser autoritario en este tema, por lo que estoy dispuesto a creer lo que dicen.

Espero ansiosamente la respuesta sobre esto yo mismo, porque me gustaría mucho comprar un certificado de firma de código de StartSSL. Me di cuenta en su sitio, que los certificados del código son 'beta', así que tal vez esto es algo que necesitan para resolver los problemas.

Answer 2

Hay una diferencia entre el "tiempo de firma" y la marca de tiempo del "firmante de estampado". El tiempo de firma es el momento en que realmente firmó el código, cuando la marca de tiempo es del "firmante de estampado" (el servidor de certificados).

Al firmar con la fecha y hora del emisor del certificado, en realidad se asegurará de que su firma aún sea válida incluso si su certificado ya expiró.

Answer 3

Los certificados de firma de código emitidos por StartSSL contienen el atributo de uso de clave mejorada (EKU) "Firma de por vida" (1.3.6.1.4.1.311.10.3.13), que hace que las firmas de archivo caduquen cuando expira el certificado, independientemente de las marcas de tiempo.