如何选择正确的数字证书来对 Windows 下的可执行文件进行代码签名？答案

【问题标题】：How to pick the right digital certificate to code-sign executables under Windows?如何选择正确的数字证书来对 Windows 下的可执行文件进行代码签名？
【发布时间】：2012-07-30 20:54:22
【问题描述】：

我需要获得数字证书才能在 Windows 下签署我的 EXE、DLL、屏保和 MSI 文件。我一直在寻找各种价格的大量证书。

这里只是一些（2012 年 8 月）：

VeriSign 每年 499 美元。
Thawte 每年 299 美元。
GoDaddy 199 美元/年。
Comodo 180 美元/年。

那么有人能解释一下为什么会有这么大的价格差异吗？也许有人真正处理过数字证书——如果你能分享任何可能的陷阱？

【问题讨论】：

确保要求折扣，尤其是购买有效期较长的证书时。

标签： windows certificate code-signing digital-certificate

【解决方案1】：

我们使用 Comodo 进行代码签名，并通过经销商获得证书，这使得它们更加便宜。我们已经与他们签署了我们所有的产品，并将它们分发给了许多客户，并且还没有发现任何问题。我认为没有任何理由使用更昂贵的提供商。

编辑：我刚刚想到的一件事 - 如果您打算注册 Microsoft 的 WinQual 计划，我认为他们对代码签名证书有非常具体的要求，我认为这会限制您对提供商的选择。如果这对您有影响，我会阅读该主题。

【讨论】：

我们使用的经销商是ksoftware（没有关系，但客户满意）
感谢分享！您所在的国家/地区会有所不同吗？
谷歌浏览器似乎也有问题。我在 Chrome 中加载了你的页面，它显示了一个奇怪的红色警告。知道那是什么意思吗？
我不认为这个国家有什么不同。这是一个全球市场，尽管所有大型 CA 都位于美国。我们在英国，fwiw。就 Chrome 而言，警告似乎表明 Firefox 是收集证书的更好浏览器。我似乎记得上次我们更新证书时他们推荐了 Firefox，我们确实这样做了，而且我们没有遇到任何问题。恐怕我对这个主题了解不够，无法理解是什么让 Firefox 变得更好
感谢您提供后续信息。我在美国，所以我很高兴听到它在英国有效。我还假设您使用这些证书来签署您的 Windows 可执行文件，对吗？

【解决方案2】：

威瑞信的代码签名证书可用于签署内核模式驱动程序（GlobalSign 是实现此目标的唯一替代品，价格较低）。从技术角度来看，其余部分是相同的。不同的 CA 使用不同的客户验证技术并需要不同的文档集。如果你是一家公司并且有一个办公室，你应该不会有任何 CA 的问题。如果您只有一个虚拟办公室或者您是单人企业，那么某些 CA 的要求可能比其他不同 CA 的要求更难满足。

【讨论】：

一个后续问题。我可以将 Microsoft 的 signtool 与所有这些证书一起使用，还是需要使用他们自己的一些专有签名工具？
signtool 可以与任何这些证书一起使用 - 证书的格式是统一的。您可能需要对 Windows 证书存储进行一些转换或证书安装，但这与 CA 无关，取决于工具（例如，signtool 要求证书位于 Widows cert.storage 中以进行内核模式签名）。