-
-
[旧帖] 过数字签名的一次实践 0.00雪花
-
发表于: 2016-8-25 21:33
-
微软虽对非boot驱动加载才有签名验证，但实际nt的加载也要过，而签名存在有效期。总不可能某一天打开电脑，看到屏幕不断重启一脸蒙了，所以签名的副署时间有效都让过，那么对签名的时间戳证书的有效期也会睁只眼闭只眼。
那么我们可以利用来省去在testsigning mode切换的麻烦
这里只需自己实现简单web回应，放在VM或空间里，另外自建证书要加入到受信任，然后就有了受信的时间戳。(这种方法只适用于本机)
看起啦顺眼多了
那么是不是意味着借助一个受信的代码证书、时间戳证书，就可以绕过签名强制？ 顺便问下有没可能实现其他用途证书 强制签名?
那么我们可以利用来省去在testsigning mode切换的麻烦
这里只需自己实现简单web回应，放在VM或空间里，另外自建证书要加入到受信任，然后就有了受信的时间戳。(这种方法只适用于本机)
看起啦顺眼多了
那么是不是意味着借助一个受信的代码证书、时间戳证书，就可以绕过签名强制？ 顺便问下有没可能实现其他用途证书 强制签名?
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
微软对驱动的加载要求有专用的交叉签名，因此即使在本机使用一般的自签名也还是要pass掉驱动签名强制，包括一些NATIVE API也会有验证，因此给调试工作带来不便。 有一种思路，用一份过期的证书签名，加入自定义的签名时间（时间戳证书加入本机受信任）。 步骤：1.代码签名.代码证书是否吊销,时间戳证书是否过期都没关系，2.时间戳反签名，TSA使用openssl的RFC3161协议。然后测试看看能否通过验证。 这里用的是论坛一位前辈贡献的。 看起啦顺眼多了 WIN7下测试OK，可以无限期使用下去了。 据说WIN10下除了某个日期之前签的驱动外，其他对签名的要求变得更严格了，有兴趣的的可以试下能不能用这种方式过，因为机子没环境测不了。(:附件功能好像有点bug)   |
|
|
重新发了份，正好试试新版论坛 |
|
|
还是看不到附件。。 |
