ड्राइवर विफल विफलता क्योंकि क्रॉस साइनिंग चेन में माइक्रोसॉफ्ट

Question

नहीं है क्या आपको पता है कि "माइक्रोसॉफ्ट कोड सत्यापन रूट" हस्ताक्षर प्रमाणपत्र श्रृंखला से क्यों गुम हो जाएगा?

हमने हाल ही में दो डोमेन के बीच एक बिल्ड सिस्टम ले जाया था और उन्हें फिर से स्थापित करना पड़ा था। हमने पाया कि हमारे पास एक साइनिंग समस्या थी जहां माइक्रोसॉफ्ट श्रृंखला में नहीं था क्योंकि इंस्टॉलेशन के दौरान कर्नेल ड्राइवर अस्वीकार कर रहा था।

हमने देखा है कि हम certmgr में 2 अतिरिक्त प्रमाणपत्र था: विश्वसनीय प्रकाशक: प्रमाण पत्र

• कक्षा 3 लोक प्राथमिक प्रमाणन ..
• संचालन के 3 कोड हस्ताक्षर ...

के बाद अक्षम करना कक्षा 3 सार्वजनिक प्राथमिक प्रमाणन "समस्या" चली गई और हमारे पास माइक्रोसॉफ्ट के साथ शीर्ष पर उचित हस्ताक्षर श्रृंखला है।

मुझे यकीन नहीं है कि कैसे कक्षा 3 सार्वजनिक प्राथमिक प्रमाणन स्थापित किया गया था या हम इसका उपयोग कर रहे हैं और यह देखने के लिए परीक्षण कर रहे हैं कि हम किन प्रभावों का सामना कर सकते हैं।

क्या कोई इस तरह की समस्या में भाग गया है और वे इसके साथ कैसे पहुंचे? क्या कमांड लाइन पर कक्षा -3 के उपयोग को अक्षम करने का कोई तरीका है, इसलिए मैं अकेले प्रमाणपत्र स्थापित कर सकता हूं जिससे जोखिम कम हो जाता है?

मदद के लिए धन्यवाद

पीटर

साइन कमान

signtool.exe sign /v /ac MSCV-VSClass3.cer /s TrustedPublisher /n "My Corp" /t http://timestamp.verisign.com/scripts/timstamp.dll mydriver.sys 

साइन सत्यापन signtool की पुष्टि/केपी/v mydriver.sys

*** Signing Certificate Chain: 
*** Issued to: Class 3 Public Primary Certification Authority 
*** Issued by: Class 3 Public Primary Certification Authority 
*** Expires: 8/2/2028 7:59:59 PM 
*** SHA1 hash: xxxxxxxxxxxxxxxxxx 

    Issued to: VeriSign Class 3 Code Signing 2009-2 CA 
    Issued by: Class 3 Public Primary Certification Authority 
    Expires: 5/20/2019 7:59:59 PM 
    SHA1 hash: xxxxxxxxxxxxxxxxxx 

     Issued to: My Corp 
     Issued by: VeriSign Class 3 Code Signing 2009-2 CA 
     Expires: 9/10/2013 8:59:59 PM 
     SHA1 hash: xxxxxxxxxxxxxxxxxx 

Answer 1

सिद्धांत रूप में, मैं क्रॉस-साइन प्रमाण को Verisign से इंस्टॉल कर सकता हूं जो मेरे प्रमाण से एक प्रमाणपत्र स्टोर में मेल खाता है और साइनटोल स्वचालित रूप से इसका उपयोग करेगा। हालांकि, इससे साइन पार करने के लिए गलत प्रमाण का उपयोग किया जा सकता है।

स्पष्ट होने के नाते बेहतर

• certmgr के माध्यम से उपयोगकर्ता के लिए trustedpublisher दुकान में मेरी प्रमाणपत्र स्थापित करें कि संकेत है।एमएससी
• अपने प्रमाणपत्र (https://knowledge.verisign.com/support/code-signing-support/index?page=content&actp=CROSSLINK&id=SO5820)
• लिए सही प्रमाणपत्र प्राप्त स्पष्ट रहें जब

SignTool.exe sign /v /s trustedpublisher /ac path-to-retrieved-cert\MSCV-VSClass3.cer /n myCertName /t http://timestamp.verisign.com/scripts/timestamp.dll driver-file-to-sign

• पर हस्ताक्षर करने

SignTool.exe verify /kp /v drive-file-to-check

या यदि आप सत्यापित करें एक कैटा लॉग फ़ाइल

SignTool.exe verify /kp /v /c driver-cat-file.cat drive-sys-file.sys

Answer 2

हमने दो बिल्ड सिस्टम की तुलना की और हमें खराब सिस्टम पर हमारे certmgr विश्वसनीय प्रकाशकों की सूची में एक अतिरिक्त कक्षा 3 सार्वजनिक प्राथमिक प्रमाण पत्र मिला। यह हमारी श्रृंखला में शीर्ष स्तर के साथ मेल खाता है। हमने इस प्रकाशन को अक्षम कर दिया और श्रृंखला के शीर्ष को माइक्रोसॉफ्ट में बहाल कर दिया गया।

तो, हमारे पास अभी भी प्रश्न हैं लेकिन ऐसा लगता है कि अन्य समस्याओं पर कोई बुरा प्रभाव नहीं होने के कारण हमारी समस्या का समाधान हुआ है।