Windows가 이후에 만료 된 인증서가있는 서명 된 실행 파일에 대해 "Unverified Publisher"로 표시되는 이유

Question

2014 년에 바이너리에 디지털 서명하는 데 사용한 StartSSL에서 클래스 2 코드 서명 인증서를 구입했습니다. 이 인증서는 만료되었으며 실제로 새로운 인증서를 받으려고합니다. 그러나 관련이없는 사건에서 VM에 서명 한 설치 프로그램 중 하나를 실행했고 Windows가 UAC 대화 상자의 "Unverified Publisher"변형을 가져 왔을 때 다소 화가났습니다.

인증서가 만료 물론

, 그런데 왜 파일 (즉, 유효 기간 내에 서명)입니다 갑자기 확인되지 않은 : 나는 디지털 서명의 속성을 볼 때

나는이 보이지? 예를 들어 Office 2003 설치 프로그램의 이전에 서명 한 복사본을 보면 유효하지 않은 서명에 대해 불평하지 않고 유효 기간이 10 년 전에 만료 된 경우와 같이 다른 소프트웨어에서 이러한 현상이 발생하는 것을 보지 못했습니다.

왜 그렇습니까? 솔직히 나는 처음부터 인증서를 구입하는 것이 무엇인지 궁금해하고 있으며, 공정 중 교체를 취소하는 것을 심각하게 고려하고 있습니다. 그들이 무효화 할 때 무의미한 것처럼 보입니다. 또는 이것은 클래스 2와 클래스 3 사이에서 다른 것입니까? (3 등급은 지금 잡아려고 버전입니다)

마이크로 소프트의 블로그 게시물에 대한 첫 번째 각주에 설명 된대로이 분명히 몇 가지 코드 서명 인증서에 의해 디자인 제한 사항입니다

Answer 1

, Everything you need to know about Authenticode Code Signing :

모든 게시자 인증서가 타임 스탬프가 무기 한 수명을 제공하는 것을 허용하지는 않습니다. 게시자의 서명 인증서에 평생 서명자 OID (OID_KP_LIFETIME_SIGNING 1.3.6.1.4.1.311.10.3.13)가 포함되어 있으면 서명이 타임 스탬프 처리 된 경우에도 게시자의 서명 인증서가 만료되면 서명이 무효화됩니다. 이는 인증 기관이 영구적으로 해지 목록 (CRL, OCSP)을 유지 관리해야하는 부담을 덜어주기위한 것입니다.

대체 인증서에 동일한 제한이 적용되는지 여부를 확인하고 대체 공급 업체를 고려할 수 있습니다.