Code-Signing-Zertifikat für Open-Source-Projekte?

Habe ich ein code signing Zertifikat von StartCom (StartSSL). Ich bin sehr zufrieden mit Ihrem service: Ihre Kunden-service ist sehr schnell, und Ihre Preise sind sehr vernünftig.

Immer die code-signing-Zertifikat

Immer ein code-signing-Zertifikat benötigt Class 2 Identity Validation. StartCom führt Sie durch den gesamten Prozess (mit ausgezeichnetem response-raten, in der Regel innerhalb von zehn Minuten in meiner Erfahrung).

Wenn Sie möchten, um die details gleich auf einmal Lesen in diesem blog-post. Ich wurde validiert, innerhalb von einer Stunde (für eine Gebühr in Höhe von 59.90 $, per Paypal).

Nachdem überprüft wird, erzeugen eines neuen privaten Schlüssel und ein Certificate Signing Request (CSR). Beachten Sie, dass alle Felder außer für die öffentlichen Schlüssel werden ignoriert. Alle Informationen in das Zertifikat ist Schlussfolgerung aus den Informationen, die Sie während Identität-Validierung, die sich nicht von Ihrem CSR -.

# Create key and CSR (key must be at least 2048 bit, per Policy Statement)
openssl req -nodes -newkey rsa:2048 -keyout codesigning.key -out codesigning.csr
# Add pass phrase to key (optional, but highly recommended)
openssl rsa -in codesigning.key -des3 -out codesigning2.key && \
    mv codesigning2.key codesigning.key

Reichen Sie diese über das web-interface an und Sie werden schnell ein neues Zertifikat, das für zwei Jahre gültig (ich habe mir innerhalb einer Stunde).

Problem: die Lebensdauer der Unterzeichnung OID

StartCom s class 2-Zertifikate die Lebensdauer der Unterzeichnung OID set. Da dieses bit, die Signatur der signierten code wird ungültig, wenn das Zertifikat abgelaufen ist, auch wenn es Zeitstempel.

Als ich fragte Eddy Nigg (COO/CTO von StartCom) nach dem Grund für diese OID, antwortete er:

Erfordert es von uns zu halten, um die CRLs, die für bis zu 20 Jahre nachdem die Zertifikate bereits abgelaufen ist. Dies ist etwas, das wir tun können, für die EV-Stufe certs (viel weniger Volumen, verschiedene Zahlungsbedingungen), würde aber den Preis erhöhen, den für die Klasse 2 nur für diese Leistung (wo signieren von code ist nur ein Teil der Möglichkeiten in diesem level).

Zeitstempel ist somit nur verfügbar, nachdem Sie Extended Validation (EV), die nur rechtlich etablierten Organisationen und kostet 199.90 $. So, einzelner Entwickler Sie nicht nutzen können-Zeitstempelung mit einem code signing-Zertifikat von StartCom.

Für eine lange Zeit, als ich diese Einschränkung als ein großes Problem. Vor kurzem habe ich meine Meinung geändert: Es passiert nur einmal alle zwei Jahre, sicherheitsbewussten Benutzer möglicherweise eher geneigt sein, um die aktuelle version meiner software, und die alten Versionen von der software immer noch funktionieren (für diejenigen, die wollen, es zu benutzen; aber ohne eine verifizierte Signatur).

Hinweis: Immer Zeitstempel code, auch wenn die Lebensdauer der Unterzeichnung flag gesetzt ist! Zeitstempel-Signaturen gültig bleiben, bis das Ablaufdatum des Zertifikats, selbst wenn das Zertifikat widerrufen wurde (natürlich nur, wenn die Signatur erstellt wurde, bevor das Zertifikat widerrufen wurde).

Praktische Verwendung von Zertifikat

Bei StartCom, Sie zahlen nur für die Validierung. Die Identität Validierung gilt für die 350 Tage, und während dieser Zeit, können Sie anfordern, code signing-Zertifikate für frei. Sie können nur eine gültige code-signing-Zertifikat, und es kann verwendet werden, um Zeichen beliebiger code (MSI -, DLL -, XPI, ...), aber keine Treiber-code (erfordert EV).

Ändern eines Attributs im Zertifikat, die Vorherige Zertifikat muss widerrufen werden, eine eine neue angefordert. Widerruf eines Zertifikats kostet 29.90 $. Obwohl, wenn ich änderte meine E-Mail ein Tag nachdem ich ein code signing-Zertifikat, das Sie ausnahmsweise widerrufen meine Bescheinigung ohne Gebühr (ich war positiv überrascht)!

Ablauf

Wenn Ihr Zertifikat abgelaufen ist (nach fast zwei Jahren), erhalten Sie eine Benachrichtigung (zwei Wochen im Voraus).
Wenn deine Identität verifiziert ist, noch gültig sind (daran erinnern, dass Validierungen laufen nach 350 Tagen; dann haben Sie, um Ihre Identität zu bestätigen wieder für 59.90$), können Sie verlangen ein neues Zertifikat ohne den Widerruf von der vorherigen. Vergessen Sie nicht, die Veröffentlichung einer neuen Version der software, signierte mit dieser neuen code-signing-Zertifikat, weil die früheren Versionen wird sich bald zeigen "(nicht überprüft)" oder etwas ähnliches.

OCSP -

Erhielt ich mein Zertifikat, ich habe mein Firefox-add-on. Allerdings ist es immer noch zeigte "(Autor nicht verifiziert)", auch wenn mir die XPI-Datei wurde ordnungsgemäß unterzeichnet. Es stellte sich heraus, dass Firefox nicht das aktuelle Zertifikat-status, wenn es abgefragt, die OCSP-Server von StartCom für den Sperrstatus mein neues Zertifikat. ^{möglicherweise einschlägigen Foren-Thema}

Nach etwa einem halben Tag, mein Zeugnis war bekannt, dass die Online-zertifikatstatusprotokoll-Server, und mein name auftauchte, als erwartet. Lektion gelernt: Wenn man ein neues Zertifikat, warten Sie etwa einen Tag vor der Veröffentlichung von software mit der neuen Signatur.