Cài đặt trình điều khiển không đúng vì Chuỗi ký hiệu chéo không chứa microsoft

Question

Bạn có biết tại sao "Gốc xác minh mã Microsoft" sẽ bị thiếu trong chuỗi chứng chỉ ký không?

Gần đây, chúng tôi đã di chuyển một hệ thống xây dựng giữa hai miền và phải cài đặt lại chứng chỉ. Chúng tôi thấy rằng chúng tôi đã có một vấn đề ký kết mà Microsoft không có trong chuỗi gây ra từ chối trình điều khiển hạt nhân trong khi cài đặt.

Chúng tôi nhận thấy rằng chúng tôi đã có 2 Certs bổ sung trong certmgr: Trusted Publisher: Giấy chứng nhận

• Lớp 3 Chứng nhận Primary Công ..
• Verisign Class 3 Mã Ký ...

Sau vô hiệu hóa Chứng nhận chính cấp 3 loại "sự cố" đã biến mất và chúng tôi có chuỗi ký kết phù hợp với Microsoft ở trên cùng.

Tôi không chắc chắn cách Giấy chứng nhận chính cấp 3 loại được cài đặt hoặc chúng tôi đang sử dụng nó và đang thử nghiệm để xem những tác động nào có thể gặp phải.

Có ai gặp phải vấn đề này không và cách họ tiếp cận nó như thế nào? Có cách nào để vô hiệu hóa việc sử dụng các lớp-3 trên dòng lệnh để tôi có thể để thiết lập certmgr một mình do đó làm giảm nguy cơ?

Thanks for the help

Peter

Đăng lệnh

signtool.exe sign /v /ac MSCV-VSClass3.cer /s TrustedPublisher /n "My Corp" /t http://timestamp.verisign.com/scripts/timstamp.dll mydriver.sys 

Đăng Xác signtool xác minh/kp/v mydriver.sys

*** Signing Certificate Chain: 
*** Issued to: Class 3 Public Primary Certification Authority 
*** Issued by: Class 3 Public Primary Certification Authority 
*** Expires: 8/2/2028 7:59:59 PM 
*** SHA1 hash: xxxxxxxxxxxxxxxxxx 

    Issued to: VeriSign Class 3 Code Signing 2009-2 CA 
    Issued by: Class 3 Public Primary Certification Authority 
    Expires: 5/20/2019 7:59:59 PM 
    SHA1 hash: xxxxxxxxxxxxxxxxxx 

     Issued to: My Corp 
     Issued by: VeriSign Class 3 Code Signing 2009-2 CA 
     Expires: 9/10/2013 8:59:59 PM 
     SHA1 hash: xxxxxxxxxxxxxxxxxx 

Answer 1

Về lý thuyết, tôi có thể cài đặt chứng nhận chéo từ xác thực khớp với chứng chỉ của tôi vào một cửa hàng cert và signtool sẽ tự động sử dụng nó. Tuy nhiên, điều này có thể dẫn đến chứng chỉ sai được sử dụng để ký chéo.

Là rõ ràng là tốt hơn

• Cài đặt cert của tôi trong cửa hàng trustedpublisher cho người dùng biết những dấu hiệu thông qua certmgr.msc
• Lấy cert phù hợp với cert (https://knowledge.verisign.com/support/code-signing-support/index?page=content&actp=CROSSLINK&id=SO5820)
• của bạn Hãy rõ ràng khi ký

SignTool.exe sign /v /s trustedpublisher /ac path-to-retrieved-cert\MSCV-VSClass3.cer /n myCertName /t http://timestamp.verisign.com/scripts/timestamp.dll driver-file-to-sign

• Xác

SignTool.exe verify /kp /v drive-file-to-check

hoặc nếu bạn có một cata log file

SignTool.exe verify /kp /v /c driver-cat-file.cat drive-sys-file.sys

Answer 2

Chúng tôi đã so sánh hai hệ thống xây dựng và chúng tôi đã tìm thấy một chứng chỉ bổ sung chính của Lớp 3 trong danh sách nhà xuất bản đáng tin cậy của chúng tôi trên hệ thống không hợp lệ. Điều này phù hợp với cấp cao nhất trong chuỗi của chúng tôi. Chúng tôi đã vô hiệu hóa xuất bản này và phần đầu của chuỗi đã được khôi phục trên microsoft.

Vì vậy, chúng tôi vẫn có câu hỏi nhưng điều này dường như đã giải quyết được vấn đề của chúng tôi mà không gây ảnh hưởng xấu đến các bản dựng khác.