code-signing - SignTool - 安全的工作流程？

Question

我们是代码签名的新手，所以我对您在不将证书暴露给公司每个人的情况下如何使用签名工具的经验感兴趣。

您公司中的每个人都可以进行代码签名吗？您是否将证书颁发给公司中的每个人？

我们想做一些自动化的工作流程，比如开发人员将他们的文件放到一个目录中，并且每个文件都被签名。

谢谢你的建议。

Answer 1

我的公司有一个自动签名和验证过程的 VBScript 包装器。VBScript、signtool.exe、capicom.dll 和 PFX（包含证书链和私钥）都位于受密码保护的网络共享上。

每当有人需要对二进制文件进行签名时，他们只需将文件拖放到 VBScript 上即可；它处理其余的。虽然，由于我们的构建过程几乎完全自动化，它已经被废弃了。

不利的一面是，它是一个 VBScript。所以私钥的密码是可见的，但这就是密码保护共享的原因。

附录

您可以做类似的事情，它会签署文件夹/共享中的任何文件并配置 Windows 计划任务以每隔几分钟执行一次脚本。签名后，需要将文件移动到不同的文件夹，但这很容易。这将允许您限制对脚本、证书、私钥和文件签名文件夹的访问。