Certificato VeriSign di classe 3 non considerato affidabile da Windows?

Question

Distribuisco un'applicazione desktop Windows con tutti i file eseguibili firmati digitalmente da un certificato di firma del codice di Classe 3 di Verisign. Per la stragrande maggioranza degli utenti, questo sembra funzionare bene.

Tuttavia, un numero limitato di utenti segnala che il certificato non è valido. Dicono che arriva il messaggio "Una catena di certificati elaborata, ma terminata in un certificato di root che non è considerato attendibile dal provider di fiducia". Corrisponde al codice di errore CERT_E_UNTRUSTEDROOT (0x800B0109). Questo è stato anche segnalato su un computer Windows 7 completamente aggiornato. Quindi presumibilmente il mio certificato è OK, ma Windows a volte non si fida dei certificati VeriSign.

Perché a volte Windows non si fida di VeriSign? C'è qualcosa che posso aggiungere al mio programma di installazione (anche firmato) che dirà a Windows di fidarsi del certificato?

Answer 1

Ci sono frequenti aggiornamenti dei certificati di root che Microsoft implementa tramite Windows Update, ma che sono contrassegnati come "aggiornamento opzionale". Quindi non tutti gli utenti possono averli installati e potrebbe essere necessario installarli manualmente. Ciò vale anche per le macchine "completamente aggiornate", poiché l'installazione automatica viene spesso impostata per installare solo "aggiornamenti importanti", che non sono gli aggiornamenti del certificato radice.

A seconda del tipo di applicazione desktop, potrebbe essere necessario seguire alcune regole durante la firma. Ad esempio, le applicazioni che interagiscono con il Centro sicurezza PC richiedono essenzialmente lo stesso metodo di firma dei driver. Cioè, la catena di certificati viene incorporata insieme alla firma (/ac passa a signtool). È possibile ottenere lo MSCV-VSClass3.cer applicabile ai certificati VeriSign here.

Il processo è spesso chiamato cross-signing, che sembra essere un termine improprio. Mentre questo è un passaggio per ottenere il binario del driver o il catalogo con firma incrociata, il passo fondamentale è che Microsoft firma il driver (o più solitamente il file di catalogo in questi giorni), che è la vera cross-sign.