自签名 msi 的部署

Question

我刚刚为我将从我的网站分发的应用程序创建了一个 msi 安装程序。我使用 openSSL 对 msi 进行了数字签名。现在我的问题是：我如何打包 msi 以便它可以安装在用户的计算机上？我是否应该通过电子邮件向用户发送我创建的证书，以便他可以运行 msi？在这种情况下，首选的处理程序是什么？

Answer 1

这实际上取决于您要通过签署 MSI 来完成什么。如果您只想让它安装，那么您已经完成了； Windows 不允许安装未签名的 MSI 文件。如果您尝试获得绿色 UAC 提示，则需要验证签名证书。这可以通过适当地购买证书或通过在每台目标机器上安装自签名证书或其根来完成。 （后者在企业内部很常见，用于企业自己签的项目。）

但是，如果您想真正确保安全，您很快就会遇到先有鸡还是先有蛋的问题。使用颁发给 X 的证书签名的文件应该确认这些位来自 X，并允许用户决定 X 是否值得信赖。其中一部分需要知道没有其他人可以使用声称已颁发给 X 的证书。如果您使用的是自签名证书，或者由自签名根颁发的证书，则没有内置的身份验证链. （不再是 Morgan 孩子的室友；而只是某人的室友。）

您如何安全地向用户获取标识信息，例如根证书？他们怎么能确定它不是信任假 X 的恶意版本？ （当没有人认识他时，你如何介绍摩根，而不是让一些自称摩根的墨菲同胞？）在我上面提到的企业场景之外，或者从付费证书开始的方式之外，我不知道有什么好处方式。