使用SHA1、SHA2双证书进行微软数字签名

柔情只为你懂 2021-08-27 11:16 593阅读 0赞

微软是第一个宣布了SHA-1弃用计划，在2016年之后Windows和IE将不再信任SHA-1证书。正好我们公司的数字签名也到期了，索性就重新申请了sha256和sha1的新数字证书，用来给产品签名。

这时就要把用了多年的自动签名脚本改为支持sha256和sha1双证书的格式。公司原使用signcode.exe和SignTool.exe两种方式进行签名，其中signcode配合另外找的signcode-pwd.exe工具和pvk+spc文件可以不需要密码即可实现签名(不在此文中详诉)，SignTool是直接用pfx证书+密码来进行签名。于是分别寻找两种方式：

查阅signcode的[文档][Link 1]发现，**signcode**的命令行-a是用来指定数字签名的签名算法。试验了下，只支持sha1和md5，**不支持sha256**。所以此方法废弃。

再查阅**SignTool**的[文档][Link 2]，支持/fd来指定签名，试了md5、sha1、sha256均支持，所以直接在原来签名代码上添加个/**sa /fd sha256**后如下：

SignTool.exe sign /v /as /ac /f D:\test\sign\sign_sha256\xxx.pfx /p xxxx /t http://timestamp.wosign.com/timestamp /fd sha256 "D:\test_double_signed.exe"

一开始出现/as选项不识别的问题，经研究是使用的SignTool版本为6.0,因为自己机器上装了win10的sdk，于是使用了最新的C:\\Program Files (x86)\\Windows Kits\\10\\bin\\x86\\signtool.exe。ps：貌似只有win10带的才支持/as选项，但nnd这货依赖的ncrypt.dll，bcrypt.dll等dll只在vista及以上系统有，所以还在用xp的同学就不要用了。如果想拷贝到其它系统上使用，同时拷贝同目录下的：

> appxpackaging.dll  
> appxsip.dll  
> mssign32.dll  
> opcservices.dll  
> signtool.exe  
> signtool.exe.manifest  
> wintrust.dll  
> wintrust.dll.ini  
> Microsoft.Windows.Build.Appx.AppxPackaging.dll.manifest  
> Microsoft.Windows.Build.Appx.AppxSip.dll.manifest  
> Microsoft.Windows.Build.Appx.OpcServices.dll.manifest  
> Microsoft.Windows.Build.Signing.mssign32.dll.manifest  
> Microsoft.Windows.Build.Signing.wintrust.dll.manifest

再试验出现以下错误：

> *SignTool Error:**The /t option is incompatible with the /as option.*
> 
> *SignTool Error: Specify the RFC 3161 timestamp server's URL instead with /tr.*

尝试把/t换成/tr，但是出现错误：

> SignTool Error: The specified timestamp server either could not be reached orreturned an invalid response.

经过一番努力后，将http://timestamp.wosign.com/timestamp替换成http://timestamp.wosign.com/rfc3161解决问题。http://timestamp.wosign.com/rfc3161是较新的时间戳服务格式，兼容/t和/tr，而http://timestamp.wosign.com/timestamp只适用于/t。最后将两个签名指令放到批处理文件里：

set sign_folder=%~dp0%
    
    %sign_folder%\SignTool.exe sign /v /f %sign_folder%example.pfx /p examplepassword /t http://timestamp.verisign.com/scripts/timestamp.dll /fd sha1 "%1"
    
    %sign_folder%\SignTool.exe sign /v /as /f %sign_folder%example.pfx /p examplepassword /tr http://timestamp.digicert.com /fd sha256 "%1"

别的自动脚本里在想要签名文件时，只需要调用sign.bat "要签名的文件的全路径"即可签名后的文件在win10等系统上显示两个签名，在xp上只显示一个签名，如图所示：

![format_png][]

[Link 1]: https://msdn.microsoft.com/zh-cn/library/9sh96ycy.aspx?f=255&MSPPError=-2147217396
[Link 2]: https://msdn.microsoft.com/zh-cn/library/8s9b9yaz%28v=vs.110%29.aspx
[format_png]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9pbWFnZXMyMDE1LmNuYmxvZ3MuY29tL2Jsb2cvMTYwNzcwLzIwMTYwMi8xNjA3NzAtMjAxNjAyMDMxNjM0MjgzOTctMTE4ODQ0NzMzMi5wbmc?x-oss-process=image/format,png