Conseguir un certificado digital para firmar código

[Casimiro Notevi]

Empezado por dec

...

Claro, estoy de acuerdo

[Nasca]

Antes de nada gracias a dec por ampliar su experiencia. Es una estupenda guía para obtener el certificado con StartSSL.
Finalmente he decidido evitarles los sustos que le da a los usuarios firmar con el certificado de la FNMT.

He realizado el procedimiento con www.startssl.com.
Añado alguna información que puede ser de utilidad a otro que se lance con ellos.

Tienen una opción de verificación postal alternativa a la telefónica. Yo tenía un pequeño lío con las direcciones y al final este método me ha resuelto el problema y me ha evitado balbucear mi pésimo inglés. Como curiosidad, la verificación postal se realiza desde Israel, creo que la empresa también es de Israel.

Son muy accesibles, no son máquinas insensible. Son personas las que te atienden y se nota que están por ayudar.
Yo he cruzado numerosos correos con ellos, rozando a veces el límite cansino, y son rápidos y razonables.

Respecto a la validez de los certificados:

Class 2 certificates are valid for two years, and class 2 validations are valid for 350 days. During this period you can create as many certificates at this level as you want and those certificates will be valid for two years. Hope this clarify the things.

O sea que es conveniente que antes del vencimiento de la verificación (350 días) saquemos otro nuevo certificado, por lo que de alguna manera tendríamos cubiertos casi tres años.

Ahora a seguir con la fase de crear los certificados, si encuentro algo nuevo que aportar en el procedimiento, lo añado luego.

[dec]

Hola,

Empezado por Nasca

Antes de nada gracias a dec por ampliar su experiencia. Es una estupenda guía para obtener el certificado con StartSSL.

¡Gracias a vosotros! Si no hubiese abierto este hilo estaría sin certificado todavía.

Empezado por Nasca

He realizado el procedimiento con www.startssl.com.
Añado alguna información que puede ser de utilidad a otro que se lance con ellos.

Tienen una opción de verificación postal alternativa a la telefónica. Yo tenía un pequeño lío con las direcciones y al final este método me ha resuelto el problema y me ha evitado balbucear mi pésimo inglés. Como curiosidad, la verificación postal se realiza desde Israel, creo que la empresa también es de Israel.

Sí; la empresa debe estar en Israel, puesto que recuerdo que me llamaron desde Estados Unidos. Está bien que digas que puede hacerse por correo postal, puesto que nunca se sabe... ahora tengo una línea de teléfono, pero, mañana tal vez no disponga de ella.

Empezado por Nasca

Son muy accesibles, no son máquinas insensible. Son personas las que te atienden y se nota que están por ayudar.
Yo he cruzado numerosos correos con ellos, rozando a veces el límite cansino, y son rápidos y razonables.

Justo lo contrario (creo que lo he comentado) que la gente de Comodo. Al menos en mi experiencia, ya sabréis a qué me refiero: parece que estás hablando sólo o con una máquina, puesto que obtienes respuestas "predeterminadas" digas tú lo que digas... no culpo a la gente que trabaja ahí, claro está.

Empezado por Nasca

Respecto a la validez de los certificados:

O sea que es conveniente que antes del vencimiento de la verificación (350 días) saquemos otro nuevo certificado, por lo que de alguna manera tendríamos cubiertos casi tres años.

Lo que yo he entendido es que los certificados duran ya un par de años, aunque no estoy muy seguro de esto. Lo que sí me queda más o menos claro es que esta empresa no cobra por los certificados, sino por el proceso de validación, de modo que, lo que habrá que hacer en un año, será volver a "autenticarse" con ellos y pagar la minuta por ello.

Empezado por Nasca

Ahora a seguir con la fase de crear los certificados, si encuentro algo nuevo que aportar en el procedimiento, lo añado luego.

A mí me costó un poco al principio, pero, una vez hecho, el asunto se reduce a usar algún archivo BAT, y, si usamos Inno Setup, configurarlo para que firme los instaladores y desinstaladores. En fin, yo de momento estoy contento con el resultado.

[dec]

Hola a todos,

¡Esto es un no parar! Recibo un mensaje sobre la última actualización de Inno Setup indicando que ya viene preparado para la "doble firma" y con el enlace a un artículo donde se dice que Microsoft ya no soportará más el algoritmo SHA1. Así que ahora tenemos que usar SHA2 o hacer lo mismo que Inno Setup hace, firmándose tanto con SHA1 como con SHA2.

El caso es que ayer quise conseguir un nuevo certificado en StartSSL que viniese ya con SHA2. Primero tuve que revocar el certificado anterior y esto ha tardado un día en llevarse a cabo, aunque sin ningún otro coste. Pero resulta que, aunque seguí los pasos que se indican en este artículo y traté de usar SHA2 en OpenSSL, el asunto no ha funcionado.

Mi certificado sigue siendo SHA1, o sea, que he hecho un pan como unas tortas, como suele decirse. Así que me he puesto en contacto con StartSSL (les he enviado un formulario y parece ser que contactarán conmigo) preguntándoles cómo puedo crear un certificado que incorpore SHA2 en lugar de SHA1. Y ya veremos a ver qué me responden...

[Reasen]

Tengo una duda, nose si es estúpida pero la tengo... Después si tienes que hacer unos cambios en tu software tendrías que refirmarlo supongo, entonces lo que hay que hacer si se tiene un certificado es implementar como un sistema de "plugins" y dejar la aplicación firmada como un "loader del software" por si así tienes que cambiar algo sea posible por ejemplo por DLL's, nose si me explico.

[dec]

Hola,

No sé si lo entendí bien Reasen, pero, si hacemos algún cambio en un archivo EXE o DLL, necesariamente habremos de firmarlo de nuevo. Si no me equivoco, no es posible hacer un cambio sin "romper" la firma, puesto que esta garantiza de algún modo también eso mismo: que el archivo no ha sido modificado después de firmarse. Lo que yo hago es usar algunos archivos BAT que me firmen los ejecutables que crea Delphi, y, tengo Inno Setup configurado de forma que firme los instaladores (ejecutables) de mis programas.

P.D. Todavía no me han respondido desde StartSSL, no sé si volver a enviar el formulario o probar con el soporte "7/24" de su página web.

[Reasen]

Vale, ya me solucionaste algunas dudas y bueno lo del soporte "7/24" te recomendaría hablar con alguien de esa web si se trata de un chat en tiempo real, sino pues será bastante lioso enviar otro "informe" sin resolver el anterior.

[dec]

Empezado por Reasen

Vale, ya me solucionaste algunas dudas y bueno lo del soporte "7/24" te recomendaría hablar con alguien de esa web si se trata de un chat en tiempo real, sino pues será bastante lioso enviar otro "informe" sin resolver el anterior.

Sí; eso voy a hacer en cuanto tenga un poco de tiempo. Ya contaré qué tal me va.

[miado]

Empezado por dec

Sí; eso voy a hacer en cuanto tenga un poco de tiempo. Ya contaré qué tal me va.

Hola Dec, estoy en la misma situación que tu, te han respondido ya la forma de tener el certificado con el agoritmo SHA2 y que puedan firmarse los ejecutables con el y los ejecutables se reconozcan como tal?
Yo por mas pruebas que hago no lo consigo.
En el momento que sale uno de Delphi........ que complicado es todo.
Gracias.

[dec]

Hola,

Lamentablemente, esta gente de StartSSL no respondió mi petición de ayuda. Y, en el "chat de soporte", tampoco consiguieron solucionarme el problema. De hecho revoqué mi anterior certificado y me dieron otro nuevo, pero, se sigue usando el algoritmo SHA1 y no SHA2. La verdad es que ahora mismo no tengo tiempo en absoluto (estoy muy liado con cierta enfermedad aquí en casa) y por tanto no puedo ocuparme de este asunto como me gustaría.

[miado]

Bueno creo que he encontrado dos soluciones posibles.
No es necesario solicitar ni renovar si no me equivoco el certificado, con esta linea se firma el ejecutable con SHA256

1ª solución:
signtool.exe sign /f "c:\fichero.pfx" /p paswword /fd sha256 /tr http://timestamp.comodoca.com/?td=sha256 /td sha256 /as /v "c:\fichero.exe"

Unicamente hay que cambiar el fichero.pfx por el tuyo, el password por el que tengas y el fichero.exe que deseas firmar.


2ª Solucion:
Yo antes firmaba con una herramienta (un ejecutable) gratuita que te da ksoftware. No se si está permitido poner link, si no se permite eliminalo por favor.
Como es gratuita lo pongo, entráis en esa página y mas abajo en una pestaña de cuatro que hay dice "Download Ksign (New!)" en color verde y ya unicamente es bajarla donde dice "Free Download" en color verde y viene en Español y todo es muy sencilla de manejar y ahora la han actualizado a SHA256.
Link de descarga: http://codesigning.ksoftware.net/

Bueno ya me comentareis compañeros.

[dec]

Hola miado,

Muchas gracias. Parece que has dado con la tecla, puesto que acabo de probarlo y funciona perfectamente.

Muchas gracias de nuevo: a mí me has quitado un trabajo de encima y seguramente también a otros.

P.D. He probado con "signtool", puesto que el proceso lo tengo automatizado con dicha herramienta.

[miado]

Buenas,
Me han mandado un mensaje automático para renovar el certificado, he entrado en la página y parece ser que hay problemas para renovarlo de momento, os ha pasado también a alguno con esta empresa StartSSL?.
Saludos Delphinianos.

[dec]

Hola a todos,

Empezado por miado

Buenas,
Me han mandado un mensaje automático para renovar el certificado, he entrado en la página y parece ser que hay problemas para renovarlo de momento, os ha pasado también a alguno con esta empresa StartSSL?.
Saludos Delphinianos.

Hace poco me iba a caducar el certificado, y, me propuse actualizar. Sin embargo, no podía entrar en StartSSL con el certificado "de cliente" de siempre. Pensé en escribirles pidiendo ayuda, pero, resulta que he visto que yo puedo seguir usando el certificado "expirado"... esto es, pareciera que yo debo renovar la cuenta o la compra en StartSSL, pero, el certificado que uno compra es válido por dos años y no por uno, de modo que puede seguir usándose. Así lo estoy haciendo yo, como digo, sin problemas.

No sé si te valdrá de algo esta información. Yo también tendré que intentar "comprar" un nuevo certificado en su momento, cuando el que uso ahora ya no sea válido.

[miado]

Muchas gracias David.
Si de momento seguiré utilizandolo así, si os enterais de algún sitio que sea barato para el próximo año, por favor, decidlo. He visto que en LatinSSL son a unos 88 dolares, pero no se el proceso que hay que realizar.
De todas formas voy a seguir así de momento y ya el año que viene veremos a ver como está.
Gracias y saludos a todos.

[dec]

Empezado por miado

Muchas gracias David.
Si de momento seguiré utilizandolo así, si os enterais de algún sitio que sea barato para el próximo año, por favor, decidlo. He visto que en LatinSSL son a unos 88 dolares, pero no se el proceso que hay que realizar.
De todas formas voy a seguir así de momento y ya el año que viene veremos a ver como está.
Gracias y saludos a todos.

Cuando en su momento busqué sobre el tema el más barato que encontré fue StartSSL, pero, no sólo era cuestión de precio: el proceso de validación con StartSSL es relativamente sencillo, puesto que concluye con una llamada de teléfono, mientras que, en otros sitios, esto tenía que ir más allá y andar enviando papeles firmados por notarios y demás... todo esto hay que tenerlo en cuenta no vaya a costarnos más el notario que el certificado. Por otro lado, también está que StartSSL vende certificados válidos durante un par de años: igual otros sitios más baratos (si los hay) los ofrecen sólo para uno año...

[lago]

Hola, antes de nada muchas gracias a todos por documentar el proceso

Hace una semana me he animado y estoy intentando firmar también mi programa utilizando un certificado clase 2 code signing de StartSSL. Después de pedirte sacarte la foto con el DNI y mandarle alguna factura para comprobar que efectivamente, eres quien dices, te validan. En mi caso no pudieron llamarme por teléfono ya que la dirección de la factura telefónica no corresponde con la de mi DNI. La solución que me dieron fue hacer una "recarga" en su pagina de 0.50$ mediante PayPal para dar el visto bueno.

El caso es que finalmente me han dado mi .CRT de certificado. Aquí viene mi problemilla que me trae loco. La gente del soporte tecnico de StartSSL muy bien, la verdad, pero sigo teniendo un problema a la hora de firmar mi setup.exe... Creo una llave privada .key, y un .CSR con su StartSSL Tool.exe, exporto el .PFX que pide Signtool.exe o la propia tool para firmar y firmo. El proceso lo hace correctamente, si veo las propiedades del archivo en Firmas Digitales veo que esta firmado. Peeeero... y aquí viene mi problema, al ejecutar el Setup.exe Windows 10 me sigue avisando de que el Editor es desconocido. Es decir no aparece mi nombre como firmante. Ayer estuve con el servicio 24h en chat 1 hora, utilice MMC para importar los dos certificados intermedios y el final de confianza que te envian, supuestamente así al volver a generar el PFX se solucionaría pero nada. Me remitieron a un correo electronico "más técnico", al que escribiré, pero quería comentarlo por aquí también por si alguno ha tenido el mismo problema. Veo que hablais sobre SHA2 en vez de SHA1... lo he intentado pero con el mismo resultado.

Mi programa queda firmado tal como se ve en sus "propiedades" de archivo pero al ejecutarlo: Editor desconocido igualmente

Alguien sabe algo?

Muchas gracias.

[dec]

Hola,

Lamento no poder ayudarte demasiado, lago, porque, si tuviese que seguir de nuevo los pasos, creo tendría que aprenderlo todo de cero... y es que hace ya más de dos años o más que preparé el asunto, nunca lo había hecho antes, y, nunca lo he vuelto a hacer. Lo que me parece raro es que dices que el ejecutable aparece firmado... ¿qué otra cosa puede conseguirse además de eso? Quiero decir, ¿no debería ser esto suficiente? ¿Tal vez han cambiado las cosas, y, por algún motivo, los certificados de StartSSL ya no pasan algún tipo de filtro de Windows y de ahí el mensaje de autor "desconocido"? Pero, si esto último fuese así, no podrían vender los certificados tal cual los venden... porque no servirían de nada...

En fin, ya ves que no te ayudé nada. Como digo me extraña que si el archivo aparece firmado Windows se queje, por decirlo así... ¿ves algo raro en la pestaña "Detalles" del archivo? ¿Aparece tu nombre ahí?

[lago]

Hola Dec, no te preocupes es normal, con el tostón que viene siendo mejor olvidarlo

Estoy dandole mil vueltas y me parece que hay algo que hago mal... el exe aparece firmado, pero acabo de comprobar cuando pulso en Detalles de la firma que dice algo como "se proceso correctamamente una cadena de certificados pero temina en un certificado de raiz no compatible con el proveedor de confianza"... Reinstalare los certificados que me enviaron en el MMC y si sigue les enviare la captura a ver... pero entiendo que estará aquí el problema.

Gracias igualmente Dec, postearé en cuanto consiga arreglarlo "espero"

[lago]

Viva!, listo... la gente de StartSSL solo me envio un par de certificados intermedios y uno para la raiz de MMC. Me baje todos los que tienen en la pagina, los importé, volví a generar el PFX y aire.

Firmado! hurrah!