Sim EKB Install 2019 12 08 安装时提示“EKB signature verification failed”如何解决？

Question

**问题描述（198词）：** 在安装 Siemens SIMATIC EKB（Engineering Knowledge Base）补丁包 *Sim EKB Install 2019 12 08* 时，安装程序报错：“EKB signature verification failed”。该错误表明数字签名验证失败，通常并非因文件损坏，而是由三类原因导致：① 系统时间/时区严重偏差（±5分钟以上），导致证书吊销检查（OCSP/CRL）失败；② 本地组策略或杀毒软件拦截了Windows Cryptographic Services，阻止签名链验证；③ 安装包被解压工具（如7-Zip旧版、非管理员权限解压）意外修改了文件属性（如Zone.Identifier流）或校验和。值得注意的是，该EKB版本使用SHA-256+RSA-2048签名，依赖Windows 10 1803+/Server 2016+的CNG签名验证栈，旧系统需手动更新根证书（如Microsoft Root Certificate Program）。临时禁用SmartScreen或杀软仅能绕过部分检查，但无法解决根本验证逻辑——必须确保系统时间同步、以管理员身份运行安装程序、且使用原生Windows资源管理器解压（避免第三方工具“修复”NTFS元数据）。建议优先执行 `w32tm /resync` 同步时间，并检查事件查看器中“System”日志下的Cryptography Services错误事件。

Answer 1

```html

一、现象层：错误表征与上下文锚定

在部署 Siemens SIMATIC EKB（Engineering Knowledge Base）补丁包 Sim EKB Install 2019 12 08 时，安装程序中断并抛出明确错误：“EKB signature verification failed”。该提示非泛化IO异常，而是Windows内核级代码签名验证栈（CNG-based Cryptographic Services）主动拒绝签名链的权威断言。需注意：此错误不等价于文件损坏，亦非单纯权限不足——它指向数字信任链的断裂，是现代工业软件交付中典型的“零信任校验失败”案例。

二、技术根因分层诊断模型

• 时间维度失准：系统时钟偏差 ≥ ±5 分钟 → OCSP响应时间戳校验失败 → CRL分发点访问被拒 → 签名证书状态无法确认
• 策略/防护层拦截：本地组策略（如“关闭加密服务”）、EDR产品（如CrowdStrike、Symantec Endpoint）或Windows Defender Application Control（WDAC）劫持 CryptSIPRetrieveSubjectGuid 或 NCryptVerifySignature 系统调用
• 元数据污染：使用7-Zip v18.05以下版本、WinRAR非管理员解压、或PowerShell Expand-Archive（未指定 -Force）→ 意外剥离/篡改 NTFS Zone.Identifier 替代数据流 → 触发 Windows SmartScreen 的“下载来源标记”二次校验失败

三、平台兼容性硬性约束

依赖项	最低要求	验证命令	补救措施
签名算法栈	Windows 10 1803+ / Server 2016+	certutil -v -dump "SimEKBInstall.exe" | findstr "SignatureAlgorithm"	旧系统需安装 KB4474419 + 更新 Microsoft Root Certificate Program
CNG Provider	MS_ENHANCED_PROV / CNG_KSP	certutil -csplist	禁用 Legacy CryptoAPI 强制策略（gpedit.msc → Computer Config → Admin Templates → System → Internet Communication Management）

四、可验证的修复操作序列

1. 执行 w32tm /resync /force 强制时间同步，并验证：w32tm /query /status（Skew ≤ 1s）
2. 以管理员身份启动 PowerShell，清除潜在元数据：Unblock-File -Path ".\SimEKBInstall.exe"
3. 禁用临时防护干扰（仅诊断用）：Set-MpPreference -DisableRealtimeMonitoring $true（非永久关闭）
4. 检查 Cryptographic Services 日志：Get-WinEvent -FilterHashtable @{LogName='System'; ID=3; ProviderName='Cryptographic Services'}
5. 使用原生资源管理器解压 ZIP 包（右键 → “全部提取”），严禁拖拽至第三方解压窗口

五、深度验证流程图

flowchart TD
  A[启动安装程序] --> B{时间同步?}
  B -->|否| C[执行 w32tm /resync]
  B -->|是| D{以管理员运行?}
  D -->|否| E[右键 → “以管理员身份运行”]
  D -->|是| F{Zone.Identifier存在?}
  F -->|是| G[PowerShell: Unblock-File]
  F -->|否| H[调用 NCryptVerifySignature]
  C --> D
  E --> F
  G --> H
  H --> I[成功安装]
  H --> J[失败 → 查 Event ID 3/4 in CryptSvc]

六、进阶排查工具集

对资深工程师建议启用以下深度诊断：

• signtool verify /pa /v SimEKBInstall.exe —— 输出完整证书链、时间戳服务、吊销状态
• procmon.exe 过滤进程名 msiexec.exe + 路径含 crypt → 定位被拒绝的 RegKey/Registry Access
• 抓取 TLS 流量（Wireshark + SSLKEYLOGFILE）分析 OCSP 请求是否超时或返回 unauthorized
• 导出证书链至 .cer 文件，用 certmgr.msc 手动导入受信任根证书存储区（适用于离线环境）

七、工业现场特别注意事项

在电厂DCS、汽车产线PLC工程站等封闭网络环境中，必须规避如下高危操作：

• ❌ 禁用 Windows Update 后未手动导入 2023 年后新增根证书（如 DigiCert Global Root G2 已弃用）
• ❌ 在虚拟机快照回滚后未重置 Windows Time Service（导致时钟漂移累积）
• ❌ 使用 TeamViewer 远程桌面时启用“剪贴板同步”，导致解压路径被注入不可见控制字符
• ✅ 推荐建立 EKB 部署黄金镜像：预装 KB5005039 + 根证书更新 + 组策略锁定时间源为内网NTP服务器

```