问题标签 [code-signing]

假设我们部署了一个应用程序的 2.0 版，大约 3000 个用户已经在运行该应用程序。

到目前为止，该应用程序是未签名的（由 VS 的一些自动生成的证书签名）。

用户正在使用 .NET 2.0。

现在我们想部署一个新版本，该版本将使用来自 tucows 的证书进行签名。以下答案之一表明，如果我们以 .NET Framework 2.0 为目标，更改代码签名证书将“破坏”应用程序的身份。这是什么意思？

如何向现有部署添加新的代码签名证书？

通知所有用户从头开始（或从新 URL）重新安装应用程序是不可能的。

（编辑：这是以前的要求，现在无效：

我想确保现有用户根本看不到更新（他们不应该收到新版本可用的通知），而所有新用户在第一次安装时都会收到签名版本. 仅仅签署部署不应该成为打扰现有用户的理由。)

这主要是一个部署而不是一个编程问题。

如果我从 CA 购买 SSL 证书，我是否可以使用它来签署其他应用程序（例如 symbian、android、iphone 的应用程序）？

如果是这样，你会推荐什么（转）卖家？

我已经阅读了 eclipse 在黑莓开发环境中关于它需要签名的自动运行应用程序的帮助。

我可以从哪里获得使我的应用程序能够自动运行的标志？

我一直在关注这篇文章的讨论，这就是我所做的：

编辑/Developer/Platforms/iPhoneOS.platform/Info.plist看起来像这样：

然后在我的电脑上运行这个脚本

这就是我所做的一切。现在我可以在设备上运行我的应用程序而无需任何配置或代码签名，但问题是，我在控制台上没有任何调试消息。在模拟器上没问题。有谁知道我怎样才能让他们回来？
顺便说一句，我使用的是 OSX 10.5.7 和 xCode 3.1.4

我们在单个可执行文件中发布了我们软件包的更新补丁。使用颁发给我们的证书，使用 Authenticode 数字签名对该文件进行签名。该文件被下载到我们的客户操作的 Windows XP 或 Vista 系统中，他们在其中运行它以更新我们的软件。

我们的 PCI 合规审计员已要求我们防范以下情况：

1. 下载我们的可执行文件后，恶意人员会更改该文件。细心的人将能够检查文件的属性并确定签名不再有效。
2. 恶意人员将更改后的可执行文件放置在不知情的用户可以运行它的地方。
3. 一个毫无戒心的用户运行更改的文件，释放未指定的破坏。

审计员认为，如果签名无效，有一种方法（或应该是一种方法）来阻止文件运行。

你知道如何做到这一点吗？

对 jar 进行签名并使用 -tsa 选项后，如何验证是否包含时间戳？我试过：

但是输出没有指定关于时间戳的任何内容。我问是因为即使我在 -tsa URL 路径中有错字，jarsigner 也会成功。这是 GlobalSign TSA URL：http ://timestamp.globalsign.com/scripts/timstamp.dll ，它背后的服务器显然接受任何路径（即 timestamp.globalsign.com/foobar），所以最后我是不太确定我的罐子是否带有时间戳。

我使用 InstallShield 2010，它需要 SPC/PFX 和 PVK 文件来签署我的文件。我刚拿到一个代码签名证书，但他们给我的只是一个 SPC 文件。我右键单击它并将其安装在 Windows 7 中。我假设 PVK 文件位于该系统的某个位置，但我无法使用证书 MMC 等找到它。

那么如何在没有 PVK 文件的情况下在 InstallShield 中使用这个 SPC 文件来签署我的文件？我可以在“我的商店”（个人证书）中查看证书并将其导出到 .CER 或 P7B，但 PFX 选项显示为灰色，因此由于某种原因我无法导出 PVK。

是否可以在没有 PVK 文件的情况下使用 InstallShield 进行签名？我还担心如果我必须重新加载这台计算机会发生什么，我将如何在没有 PVK 文件的情况下再次安装此代码签名 .SPC？我习惯将 PFX 文件保存在我的备份系统上。这是一个 3 年的证书，所以我想在 3 年内我要重新加载这台计算机。

我想为Loadstone做出贡献，我可以编译代码，但自签名不提供安装和运行代码的必要功能。如果不是完全非法的话，所有“免费”开发证书的网站似乎都是边界线。由于我不是公司，有没有办法获得我可以使用的开发证书，还是我不走运？

我正在尝试自己创建一个对象签名证书，而不是向 Verisign 或其他公司支付数百美元。我正在使用 linux（特别是 64 位 OpenSUSE 11.1），所以最好能在那个环境中创建它。我已经成功地为 Apache 创建了自签名证书，用于使用 openssl 进行 https 连接。但是，我找不到我需要做些什么来使它成为这个特殊的“对象签名”证书。

具体来说，我需要一个对象签名证书来对一些 javascript 代码进行数字签名，以便它可以使用额外的权限。此处描述了 Mozilla javascript 签名：http://www.mozilla.org/projects/security/components/signed-scripts.html#signing，但是说它描述对象签名基础的链接已经死了。

对于 apache https ssl 证书和对象签名证书之间的差异，或操作方法或常见问题解答或使用 openssl 或其他类似实用程序采取的步骤的任何帮助，我们将不胜感激。

我创建了一个新的 iPhone 应用程序。我有两台机器。我已经在一台 Mac 上创建了在 iPhone 上运行应用程序的证书。我可以使用其他 mac 在 iPhone 中运行应用程序吗？但是当我尝试这样做时，我收到错误“代码设计错误：SDK 设备 iPhone OS 3.1.2 中的产品类型“应用程序”需要代码签名。请有人帮助我。

问候，克里希南。