为什么我在尝试使用 signtool 签署应用程序时收到“指定的 PFX 密码不正确”？

Question

我关注了这个link 签署我的 exe 应用程序。

• 我在 Windows 7 上安装了 SDK 工具，

• 运行C:\Program Files\Microsoft SDKs\Windows\v6.1\Bin>makecert.exe -sv App-O.pvk -n "CN=MY DIGITAL KEY" App-O.cer

打开对话框提供密码：

我写了密码：'fess'

新窗口打开：

我输入了：'fess'

#Succeeded

已创建文件 App-O.cer 和 App-O.pvk。

现在我生成 pfx：

pvk2pfx.exe -pvk App-O.pvk -spc App-O.cer -pfx App-O.pfx

打开对话框提供密码：

我粘贴了'fess'

已创建文件 pfx。

现在我运行signtool：

 C:\Program Files\Microsoft SDKs\Windows\v6.1\Bin>signtool.exe sign /f "App-O.pfx" /p fess "C:\Output\setup.exe"

这里我得到了错误：

SignTool Error: The specified PFX password is not correct.

Number of files successfully Signed: 0
Number of warnings: 0
Number of errors: 1

我错过了什么？

顺便说一句，我从 Windows SDK 的 CMD shell 得到同样的错误。

谢谢，

Answer 1

有几个问题。

首先，您使用的是自签名证书，因此您应该通过在 makecert 命令中添加 -r 密钥来明确定义它，否则您将在签名步骤中收到错误“签名者的证书对签名无效”。

接下来，在这一步

signtool.exe sign /f "App-O.pfx" /p fess "C:\Output\setup.exe"

您正在尝试使用密码“fess”打开 pfx。但是您实际上没有为 pfx 文件设置任何密码。为此，您应该在 pfx 创建命令中添加 -po 键。

之后，您可以签署您的申请。

所以正确的流程是：

makecert.exe -sv App-O.pvk -n "CN=MY DIGITAL KEY" App-O.cer -r

pvk2pfx.exe -pvk App-O.pvk -spc App-O.cer -pfx App-O.pfx -po fess

signtool.exe sign /f "App-O.pfx" /p fess "C:\Output\setup.exe"

这里有一些有用的链接：

• 如何创建证书： http://msdn.microsoft.com/en-us/library/ff699202.aspx
• pvk2pfx 命令键： http://msdn.microsoft.com/en-us/library/windows/hardware/ff550672%28v=vs.85%29.aspx
• signtool 命令键： http://msdn.microsoft.com/en-us/library/windows/desktop/aa387764%28v=vs.85%29.aspx
• 如何签署文件： http://msdn.microsoft.com/en-us/library/windows/desktop/aa388170%28v=vs.85%29.aspx

Answer 2

刚刚在一些机器上收到与 DigiCert 代码签名证书类似的错误时偶然发现了这个问题。

原来我在导出证书时选择了 SHA256 加密而不是 TripleDES-SHA1，而我们的一台构建机器仍在运行 Windows Server 2012 R2。该操作系统显然无法解密证书，从而导致相同的（在这种情况下令人恼火）错误消息。

更新：同样的行为也发生在使用 Hosted VS2017 管道和 DigiCert 证书的 Azure Devops 经典管道上。

新的 YAML 管道使用 SHA256

Answer 3

你只需要像这样添加-pi参数（你的pvk文件的密码）：

pvk2pfx.exe -pvk App-O.pvk -pi fess -spc App-O.cer -pfx App-O.pfx -po fess -f