openssl自签名证书 对exe签名为什么signtool verfiy 报错

Question

openssl自签名证书 对exe签名为什么signtool verfiy 报错

这是生成证书过程

Answer 1

让 “紫雾凌寒” 来帮你回答,本回答结合 DeepSeek

如果还有问题，请评论或点击头像私信，如果有帮助到您, 请关注、采纳、点赞

1. 关键点分析：
   - 问题在于使用openssl自签名证书对exe签名后，signtool verify报错。这可能涉及到证书格式、签名算法、签名过程以及signtool验证机制等多方面的兼容性问题。
2. 解决方案：
   - 检查证书格式：
   • 确保openssl生成的证书格式是signtool能够识别的。一般来说，signtool常用的证书格式是PFX（个人信息交换）格式。
   • 可以使用openssl将生成的证书转换为PFX格式。例如，假设已经有了自签名的证书文件cert.pem和私钥文件key.pem，可以使用以下命令转换：
     openssl pkcs12 -export -in cert.pem -inkey key.pem -out cert.pfx
   • 检查签名算法：
   • 确认openssl生成证书时使用的签名算法与signtool兼容。不同的签名算法可能导致验证失败。
   • 查看openssl生成证书时的配置，例如：
     openssl req -newkey rsa:2048 -nodes -keyout key.pem -x509 -days 365 -out cert.pem
     这里使用的是RSA算法。如果signtool不支持该算法或者期望的算法不同，就会报错。可以尝试调整openssl生成证书时的签名算法选项，如使用ecdsa算法：
     openssl req -newkey ecdsa -pkeyopt ec_paramgen_curve:P-256 -nodes -keyout key.pem -x509 -days 365 -out cert.pem
   • 检查签名过程：
   • 确保使用signtool签名时的参数正确。例如：
     signtool sign /f cert.pfx /p password /d "MyApp" MyApp.exe
     这里/f指定证书文件，/p指定证书密码，/d指定描述信息。要仔细检查这些参数是否准确。
   • 检查signtool验证：
   • 查看signtool verify报错信息，分析具体的错误原因。例如，如果报错提示证书链问题，可能需要检查证书的颁发机构等信息。
   • 可以尝试使用详细的验证选项，如：
     signtool verify /v /pa MyApp.exe
/v表示详细模式，/pa表示验证证书链。
3. 不同解决方案的优缺点：
   - 证书格式转换：
   • 优点：简单直接，如果是证书格式不兼容导致的问题，转换后很可能解决问题。
   • 缺点：只是解决了格式方面的问题，如果其他方面有问题，如签名算法不兼容，仍然可能验证失败。
   • 签名算法调整：
   • 优点：从根本上解决签名算法不兼容的问题，如果是签名算法导致的验证失败，调整后可以有效解决。
   • 缺点：可能需要了解不同签名算法的特点和适用场景，并且某些应用可能对特定签名算法有要求，调整后可能影响其他功能。转换签名算法可能需要重新生成证书，比较麻烦。
   • 检查签名过程参数：
   • 优点：容易操作和检查，如果是参数错误导致的问题，很容易发现并改正。
   • 缺点：只能解决参数设置方面的问题，对于证书本身或签名算法等深层次问题无法解决。
   • 详细验证选项：
     – 优点：可以获取更详细的验证信息，有助于准确判断问题所在。
     – 缺点：信息可能较多，需要仔细分析才能找到关键问题。
4. 总结：
   - 要解决openssl自签名证书对exe签名后signtool verify报错的问题，需要从证书格式、签名算法、签名过程以及验证过程等多个方面进行检查和调整。通过逐步排查，找到导致验证失败的具体原因并采取相应的解决措施，如转换证书格式、调整签名算法、检查签名参数或利用详细验证选项获取更多信息等。

希望以上解答对您有所帮助。如果您有任何疑问，欢迎在评论区提出。