验证Authenti code签名从我们公司的自动更新程序是

问题描述

我实现了自动更新功能，需要对如何做到这一点使用的最佳实践安全一些建议。我想用下载的文件的Authenti code签名来验证它是安全运行（即，从我们公司的起源，并没有被篡改）。我的问题是非常相似的问题＃2008519。

在底线的问题：什么是检查Authenti code签名的自动更新功能是最好的，最安全的方法是什么？证书中哪些领域应该进行检查？所需费用：（1）检查签名是有效的;（2）检查它的我的签名，（3）当我的证书过期老客户仍然可以更新，我得到一个新的

下面是从我研究的一些背景信息/想法：我相信这可以分为两个步骤：

1. 验证签名是有效的。我相信这应该是容易使用作为的WinVerifyTrust在http://msdn.microsoft.com/en-us/library/aa382384(VS.85).aspx - 我不指望在这里的问题

。


2. 验证签名符合我们的公司，而不是另一家公司。这似乎是一个比较难回答的问题：

一种可能性是检查一些签名中的字符串。可通过code。在MS知识库文章＃323809中获得，但本文不做出哪些领域应该为这种类型的应用程序（或任何其他为此事）进行检查的建议。 还说明了如何获得一些证书的信息，但同样不建议哪些领域实际检查。我担心的是字符串可能不是最好的检查：如果其他人能够获得具有相同名称的证书，例如？或者，如果有一个为我们改变字符串的未来？一个有效的理由

此人在有一个非常类似的要求。他的一个TrustedByUs的功能需求是相同的地雷。然而，他又约通过比较公钥做检查。虽然这在短期的工作，好像它不会自动更新功能的工作。这是因为code签名证书只适用于2 - - 3年最高。因此，在未来，当我们买2年的新证书，老客户将无法更新任何更多的是由于公共密钥的变化。

解决方案

Since the concern is that the application trusts you rather than that a person trusts you, you could just use self-signing and embed any public keys needed in the applications themselves. This gives you much more control over the process. This is inappropriate when asking a user or application not under your control to give trust, but in this case the application is under your control, so it will work fine. This allows you to very easily avoid the concern of mistaking someone else's similar-looking certificate for your own.

这篇关于验证Authenti code签名从我们公司的自动更新程序是的文章就介绍到这了，希望我们推荐的答案对大家有所帮助，也希望大家多多支持！