Conseguir un certificado digital para firmar código

[dec]

Hola a todos,

Empezado por miado

Buenas, mirando por ahí he visto esta empresa que ofrece certificados, no se si alguno la conocéis, el precio creo que son 94€ anuales, es algo caro pero asequible.
No sé si se podrá poner el link, lo pongo y si el moderador lo considera que lo quite.
Si alguno ha tenido experiencia con ellos, por favor, comentarlo.
Otra cosilla, como somo varios los interesados, no nos podría hacer una oferta al comprar varios?

bueno el link es este: https://www.redalia.es/ssl/comodo/comodocsc/

Parece que la empresa (https://www.sslpoint.com/eu/code-signing/) que he puesto yo arriba (que la encontré buscando en Google, vaya, tampoco le he dado muchas vueltas, pero, creo que el precio será similar...) es algo más barata: incluso si uno se decide por tres años de certificado, el precio se queda más arreglado. El único problema quizás sería adquirir un certificado por tres años... para que luego pasase lo que con StartCom... A ver si al final conseguimos algo curioso para todos.

[Nasca]

Lo cierto es que es una buena opción siendo de aquí.

Voy a adquirirlo y os cuento.

[Nasca]

Empezado por dec

Parece que la empresa (https://www.sslpoint.com/eu/code-signing/) que he puesto yo arriba (que la encontré buscando en Google, vaya, tampoco le he dado muchas vueltas, pero, creo que el precio será similar...) es algo más barata: incluso si uno se decide por tres años de certificado, el precio se queda más arreglado. El único problema quizás sería adquirir un certificado por tres años... para que luego pasase lo que con StartCom... A ver si al final conseguimos algo curioso para todos.

Aquí hay que valorar también la dificultad del proceso de verificación.
Entiendo que será más sencillo en la española ya que usará métodos más sencillos y adaptados.

[Nasca]

Empezado por Nasca

Lo cierto es que es una buena opción siendo de aquí.
Voy a adquirirlo y os cuento.

Al final sale por 108 por 1 año.
Y no me fío, la verificación está asociada a un dominio. No termino de entender la relación entre la verificación de la identidad y el registro de un dominio.

Me parece que por ahora no voy a adquirir esta opción.

[dec]

Hola a todos,

Empezado por Nasca

Al final sale por 108 por 1 año.
Y no me fío, la verificación está asociada a un dominio. No termino de entender la relación entre la verificación de la identidad y el registro de un dominio.

Me parece que por ahora no voy a adquirir esta opción.

Gracias por tu ayuda Nasca. Ciertamente, es algo en lo que no había pensado: StartCom verificaba llamando por teléfono, entre otras cosas. Lo de verificar mediante el registro de un dominio tampoco lo veo yo muy claro, puesto que, registrar un dominio no está verificado en sí mismo que yo sepa... por otro lado, si ellos proporcionan el certificado validado así... tal vez Microsoft o alguien se quejase, pero, hasta dicha queja tal vez el certificado fuese válido. De todas formas, parece que al final sale más caro de lo que anuncian: eso mismo ya no está bien.

Tengo yo que ponerme a ello también cuando tenga un poco de tiempo... el precio debería rondar los 70 euros, y, la forma de verificación, recuerdo que varía: en una que intenté antes de StartCom te pedían que tu número de teléfono y tu nombre estuviesen listado en las guías telefónicas (cosa que se consigue siendo el titular de la línea, ojo), y, algún recibo de la luz o suministro similar a tu nombre. No sé si lo del teléfono también te lo pedían porque fueran a llamarte, tal como lo hacía StartCom.

Lo de la verificación del dominio no lo veo Nasca: habrá que seguir buscando...

[miado]

La verdad es que como dice el compañero para que salga mas económico hay que contratar dos o mas años.
Acabo de hablar con una empresa SSL247 que es Española y le he comentado que somos varios desarrolladores que estamos interesados en un certificado para firmar código. Me van a enviar documentación, cuando la tenga os la facilito.
saludos

[dec]

Hola a todos,

Empezado por miado

La verdad es que como dice el compañero para que salga mas económico hay que contratar dos o mas años.
Acabo de hablar con una empresa SSL247 que es Española y le he comentado que somos varios desarrolladores que estamos interesados en un certificado para firmar código. Me van a enviar documentación, cuando la tenga os la facilito.
saludos

Gracias por la ayuda.

Yo he encontrado la empresa que iba a utilizar (es decir, la que encontré tras largas búsquedas como más interesante) antes de decidirme por StartCom: http://codesigning.ksoftware.net/

Los precios varían en función de los años: desde 70 euros por un año hasta 57 por cuatro años. Recuerdo que también me decidí por StartCom por su facilidad en su verificación: hay que revisar muy bien, por ejemplo, en esta última empresa que enlazo, qué es exactamente lo que necesitan para verificar nuestra identidad. En todo caso, al menos pagando con PayPal, no habría problema en la devolución del dinero si por cualquier motivo no podemos al cabo verificar nuestra identidad y por tanto obtener el certificado.

Espero a ver si el compañero miado consigue algo, pero, parece que alrededor de 70 euros (contratando por un año) es el precio que se estila ahora mismo.

[Nasca]

Estoy curioseando en los almacenes de autoridades certificadoras (CA) de varias versiones de Windows.

StartCom parece que caduca el 17/09/2036. Y está en Windows 7, 10 y XP como CA.
Por lo que parece que a pesar de que esté caducado el certificado con el que se firma, el programa en teoría se puede seguir firmando y Windows lo reconocerá como correcto.
De todas formas no tengo claro que la nota de StartCom sea aplicable a los certificados de firma de código. Se lo he preguntado, si responden aviso.

Parece que GoDaddy también está como CA: https://es.godaddy.com/web-security/...ng-certificate
Aunque sale algo caro hay que tener presente que no es para identificadores personales, es para identificadores de organizaciones:
https://es.godaddy.com/help/verifica...cado-ssl-12127

Para este caso creo que los de Starcom siguen siendo válidos y son bastante más baratos.

[Nasca]

Empezado por dec

Hola a todos,



Gracias por la ayuda.

Yo he encontrado la empresa que iba a utilizar (es decir, la que encontré tras largas búsquedas como más interesante) antes de decidirme por StartCom: http://codesigning.ksoftware.net/

Ten presente que solo ofrecen el OV (Organization Validation) y EV (Organization Extended Validation - para firma de drivers). No parece que tengan disponible el Class 2 Personal Identity Validation como StarCom.

Si no tenéis empresa no os valdrá. Usan los de Comodo.

[dec]

Hola a todos,

Empezado por Nasca

Estoy curioseando en los almacenes de autoridades certificadoras (CA) de varias versiones de Windows.

StartCom parece que caduca el 17/09/2036. Y está en Windows 7, 10 y XP como CA.
Por lo que parece que a pesar de que esté caducado el certificado con el que se firma, el programa en teoría se puede seguir firmando y Windows lo reconocerá como correcto.
De todas formas no tengo claro que la nota de StartCom sea aplicable a los certificados de firma de código. Se lo he preguntado, si responden aviso.

Parece que GoDaddy también está como CA: https://es.godaddy.com/web-security/...ng-certificate
Aunque sale algo caro hay que tener presente que no es para identificadores personales, es para identificadores de organizaciones:
https://es.godaddy.com/help/verifica...cado-ssl-12127

Para este caso creo que los de Starcom siguen siendo válidos y son bastante más baratos.

Pero, ¿qué pasa pues con el artículo que enlacé más arriba del blog de Microsoft?

Microsoft has concluded that the Chinese Certificate Authorities (CAs) WoSign and StartCom have failed to maintain the standards required by our Trusted Root Program. Observed unacceptable security practices include back-dating SHA-1 certificates, mis-issuances of certificates, accidental certificate revocation, duplicate certificate serial numbers, and multiple CAB Forum Baseline Requirements (BR) violations.

Thus, Microsoft will begin the natural deprecation of WoSign and StartCom certificates by setting a “NotBefore” date of 26 September 2017. This means all existing certificates will continue to function until they self-expire. Windows 10 will not trust any new certificates from these CAs after September 2017.

Microsoft values the global Certificate Authority community and only makes these decisions after careful consideration as to what is best for the security of our users.

Yo, desde luego, sigo firmando con mi certificado actual (comprado hace casi 2 años en StartCom) y todo parece ir bien, pero, claro, estamos planteando la posible compra de otro certificado, o, de la renovación de uno caducado. No sé yo... no me queda claro el asunto. Recuerdo que tú iniciaste el tema de nuevo a partir de una nota de StartCom (si no me equivoco), pero, ¿y lo del artículo de Microsoft arriba citado?

Empezado por Nasca

Ten presente que solo ofrecen el OV (Organization Validation) y EV (Organization Extended Validation - para firma de drivers). No parece que tengan disponible el Class 2 Personal Identity Validation como StarCom.

Si no tenéis empresa no os valdrá. Usan los de Comodo.

Bien visto eso.

[Nasca]

Respuesta de StartCom:

Thank you for your message. Certificates issued from Startcom roots after 26/9/2017 are not valid on any platform. (including Code signing certificates)

Me parece que me voy a arriesgar a seguir firmando igualmente con el certificado caducado (caduca el 14/12/2017). No debería dar problemas para autentificar identidad y evitar las modificaciones del ejecutable por posibles virus.

[Nasca]

Empezado por dec

Hola a todos,

Yo, desde luego, sigo firmando con mi certificado actual (comprado hace casi 2 años en StartCom) y todo parece ir bien, pero, claro, estamos planteando la posible compra de otro certificado, o, de la renovación de uno caducado. No sé yo... no me queda claro el asunto. Recuerdo que tú iniciaste el tema de nuevo a partir de una nota de StartCom (si no me equivoco), pero, ¿y lo del artículo de Microsoft arriba citado?

La verdad es que no había vista esta información.
Ahora ya tengo clara la razón de que no vaya a ser válidos: ya no los consideran como empresas certificadores de confianza
Pero claro los de StartCom se lo callaban.

[dec]

Hola a todos,

Empezado por Nasca

La verdad es que no había vista esta información.
Ahora ya tengo clara la razón de que no vaya a ser válidos: ya no los consideran como empresas certificadores de confianza
Pero claro los de StartCom se lo callaban.

Joroba, no es que se lo callasen... es que ahora mismo se lo están callando, puesto que siguen vendiendo certificados. No entiendo nada.

[Nasca]

Me tienen mosqueado los certificados de Comodo.

No me aparecen como autoridad certificadora en XP, cosa razonable, pero es que tampoco lo hacen en Windows 10.
Si los encuentro en Windows 7.

¿Podéis comprobarlo también vosotros en vuestros SO?

Si es así no van a valer realmente para mucho.

Instrucciones para verlos de forma sencilla en MMC: https://msdn.microsoft.com/es-es/lib...v=vs.110).aspx

[dec]

Hola a todos,

No sé si lo estaré mirando bien, creo que sí, y, aparece "Comodo" por aquí...



Esto es en Windows 10 Pro de 64 bits.

[Nasca]

Si es ese, en mi instalación no venía incluida, supongo que es porque se ha actualizado en tu caso con alguna actualización posterior.

[miado]

Bueno, me han contestado de ssl247.es, les he comentado que estamos varios desarrolladores interesados. Esto es lo que me contestan:

Buenas tardes Miguel Angel,

Como comentado, te hago llegar cotización para un Code Signing de Comodo:

Comodo Code Signing Precio SSL247 Precio por año
2 años € 130.00 € 65.00

Indico los puntos del servicio:
• Un experto dedicado, disponible en línea directa ,tanto comercial como técnico (900 838 451)
• Servicio profesional, reactivo y dinámico en español.
• Gestión del conjunto de sus certificados en un único portal protegido: compras, remisiones y renovaciones.
• Tarifas competitivas sobre el conjunto de nuestra gama.
• 30 días de garantía de devolución
• Varios métodos de pago: transferencia a 21 días, tarjeta.
• Nosotros hacemos el pedido y les guiamos para cualquier incidencia.
• Asesoría y consultoría
SSL247 somos el mayor distribuidor en Europa de certificados del grupo Symantec ( VeriSign – Thawte - GeoTrust ), GlobalSign, Comodo y Entrust, estamos acreditados tanto como Platinum Partner como EMEA Symantec Champion.


Para cualquier aclaración no dudes en contactarme.

Quedo atenta a tus comentarios.

Muchas gracias,

Un saludo.
Ester


Como lo veis, yo particularmente me parece bien, voy a ver que es lo que tengo que enviarles para validar, como son de España les voy a proponer si vale con el certificado de empadronamiento del ayuntamiento, sería lo lógico.

[Nasca]

Al final he elegido Thawte con ssl247.es, pero certificado de organización. El de persona física de Comodo no lo he visto y prefiero usar con nombre de empresa.

Han sido muy amables y la comunicación ha sido en castellano con un gestor de cuenta asignado. Han resuelto incluso las incidencias por no entender inglés con Thawte. La verificación muy sencilla.

Al comentarle de ser operador intracomunitario el coste final ha sido 239 euros por un certificado con validez para un año facturados desde Francia. Por encima de lo que esperábamos y costaba en StartCom, pero en la línea de lo que aparece en el mercado. Aunque en otros sitios que gestionan en inglés parece que tienen precios más bajos.

En Godaddy empecé la gestión y como no la seguí me mandaron un correo ofreciendo un descuento, revisad si os interesa más.

Como el año que viene no me voy a acordar de nada he recopilado la experiencia en un artículo: Obtención de certificados para firma de ejecutables

Por ahora, salvo que haya algún problema, cierro el tema hasta el año que viene

Suerte y ya contaréis vuestras experiencias.

[dec]

Hola a todos,

Empezado por Nasca

Al final he elegido Thawte con ssl247.es, pero certificado de organización. El de persona física de Comodo no lo he visto y prefiero usar con nombre de empresa.

Han sido muy amables y la comunicación ha sido en castellano con un gestor de cuenta asignado. Han resuelto incluso las incidencias por no entender inglés con Thawte. La verificación muy sencilla.

Al comentarle de ser operador intracomunitario el coste final ha sido 239 euros por un certificado con validez para un año facturados desde Francia. Por encima de lo que esperábamos y costaba en StartCom, pero en la línea de lo que aparece en el mercado. Aunque en otros sitios que gestionan en inglés parece que tienen precios más bajos.

En Godaddy empecé la gestión y como no la seguí me mandaron un correo ofreciendo un descuento, revisad si os interesa más.

Como el año que viene no me voy a acordar de nada he recopilado la experiencia en un artículo: Obtención de certificados para firma de ejecutables

Por ahora, salvo que haya algún problema, cierro el tema hasta el año que viene

Suerte y ya contaréis vuestras experiencias.

Gracias por compartir tu experiencia Nasca. Yo lo veo un poco caro, la verdad: hay que pensar que vengo de pagar 60 dólares hace casi dos años, con los que he tenido (de hecho todavía tengo) la posibilidad de firmar el código que necesito. Claro, entre unos 55 euros por dos años y 239 por uno... la diferencia no es poca. Ya contaré yo qué hago al final, puesto que, el certificado de que dispongo caduca en enero del año que viene, o sea, de aquí a nada.

[Nasca]

Empezado por dec

Gracias por compartir tu experiencia Nasca. Yo lo veo un poco caro, la verdad: hay que pensar que vengo de pagar 60 dólares hace casi dos años, con los que he tenido (de hecho todavía tengo) la posibilidad de firmar el código que necesito. Claro, entre unos 55 euros por dos años y 239 por uno... la diferencia no es poca. Ya contaré yo qué hago al final, puesto que, el certificado de que dispongo caduca en enero del año que viene, o sea, de aquí a nada.

Sin duda alguna es caro. Al final te queda una sensación rara y la sospecha de un chantaje

Está claro que la firma te da ciertas garantías de que nadie ha modificado tu software y cierta tranquilidad ante el cliente por infección del mismo, pero eso igualmente se puede conseguir con un certificado auto-generado.

Estos sistemas solo añaden un intermediario que verifica que eres quien dices ser. Lo que puede hacerse también de forma muy laxa.

Esta verificación también podría hacerse a través de la FNMT. Solo tendrían que gestionar desde ese organismo su preinstalación en Windows como autoridades de verificación con la propiedad de firmar código.

Pero claro, aparte de que nuestros políticos están más preocupados por robar, detrás de esta historia hay un gran negocio para algunas empresas que posiblemente paguen por venir pre-instaladas en Windows.

Cuando caduque mi certificado de StartCom trataré de seguir firmando con el mismo, si SignTool lo permite, una opción será seguir firmando con certificados caducados. Pero dudo que esa opción sea posible.