8

Uso o antivirus Kaspersky e para que ele permitisse meu software, escrito em Delphi, rodar eu precisei marcar nele como software confiável.

O motivo que o Kaspersky deu foi que o software não é confiável por não ser assinado digitalmente.

Observando o link que o @epx passou, pude verificar que é necessário o uso de certificados para fazer a assinatura digital:

Before you can get started, you'll need a code-signing certificate and associated private key.

Logo em seguida diz que eu posso gerar uma chave em minha infraestrutura:

You can generate your proper code-signing certificate using your internal Windows public key infrastructure (PKI) or you can buy one from a commercial Certification Authority (CA) such as Verisign.

Então gostaria de saber:

1- O que é assinatura digital de software?     
2- Preciso realmente dela para fornecer software e não ter o mesmo tipo de problema com o Kaspersky e outros antivirus?  
3- Como assino meu software digitalmente? 
4- Como gerar esse certificado em minha infraestrutura? 
5- Ela seria aceita pelo *Kaspersky*, por exemplo?
4
  • 2
    Parece que a forma mais fácil de assinar um programa interno é utilizar um programa chamado signtool que vem no SDK do .NET: windowsitpro.com/security/…
    – epx
    29/03/2014 às 14:45
  • 2
    A parte da pergunta "preciso realmente dela?" é difícil responder sem saber o que você quer... Precisaria saber o que você deseja alcançar.
    – EMBarbosa
    3/04/2014 às 13:20
  • Eu realmente deixei a pergunta de uma forma muita ampla e está com um texto nada legal, vou ajustar. Agora, remover a tag delphi não vai deixar a questão muito fora do contexto do SOpt? A propósito, inclui a tag [delphi] porque escrevi o sistema em [delphi] e também essa é uma "linguagem" muito visada por programas antivirus, então pensei que com essa tag, alguém acostumado a lidar com esse tipo de problema poderia dar uma ajuda.
    – user3628
    3/04/2014 às 13:36
  • Acredito que tudo tenha ficado mais compreensível agora. Vou ler sua resposta e os links.
    – user3628
    3/04/2014 às 13:44

1 Resposta 1

4

Você criou, na verdade, várias perguntas que talvez fossem melhor exploradas se estivessem separadas. Mas vou tentar responder mesmo assim.

A grosso modo, assinatura digital seria como o reconhecimento de firma e a autenticação de documentos no cartório, só que para arquivos digitais. Ela confirma quem emitiu arquivo e que esse arquivo não foi alterado depois que saiu das mãos do criador.
A assinatura de código ou executáveis para o Windows é chamado pela Microsoft Authenticode.

Alguns artigos da Microsoft sobre o assunto:
Introdução a assinatura de códigos
Authenticode no MSDN
Explicação sobre Authenticode no blog
Criando, visualizando e gerenciando certificados

Para assinar digitalmente você precisa de um certificado. Você pode gerar um certificado para você mesmo utilizando openSSL ou o MakeCert. Mas como você não é reconhecido por outras empresas como alguém que emite certificados de confiança, nem todos vão dar total confiança ao seu software. Cabe a você verificar se a assinatura gerada por você vai resolver o seu problema ou não.

Abaixo uma lista com alguns vendedores de certificados que em geral são considerados confiáveis:

http://www.verisign.com
http://www.thawte.com
http://www.globalsign.net
http://www.geotrust.com

Uma alternativa mais barata é obter o certificado pela empresa COMODO via o site Tucows: https://author.tucows.com/article.php?sid=&account_id=&id=2536

9
  • 1
    Quando você diz que posso gerar meu certificado e ver se resolverá o meu problema, eu já logo penso que essa questão de gerar certificados eu mesmo seria mais viável para aplicações internas. Já para aplicações que serão distribuidas ao público e irão rodar fora de meu ambiente, mesmo que resolvesse o problema no momento, futuramente eu provavelmente seria pressionado a ter um certificado de uma entitidade certificadora reconhecida. Logo, se eu tivesse mesmo que distribuir os softwares assinados seria bom já obter um e uma entidade certificadora.
    – user3628
    3/04/2014 às 13:50
  • 3
    @Tiago é mais ou menos por aí. O problema é que os certificados costumam ser caros e dependendo da certificadora, muito caros.
    – EMBarbosa
    3/04/2014 às 13:53
  • 1
    Um fragmento de sua resposta, e que esse arquivo não foi alterado depois que saiu das mãos do criador. Isso é válido para o software que foi assinado também? Porque isso eu creio que ajudaria muito na luta contra vírus infectantes, não é mesmo?
    – user3628
    3/04/2014 às 13:53
  • 2
    @Tiago, agora eu que fiquei confuso. O objetivo da assinatura digital é a verificação de integridade. Ela serve tanto para arquivos como para executáveis. Adicionei na resposta outro artigo da Microsoft que dá uma introdução sobre o assunto.
    – EMBarbosa
    3/04/2014 às 14:46
  • 1
    desculpe, eu só quis te sugar um pouco mais de informação :) E era isso mesmo que quis saber nessa pergunta feita aqui pelos comentários. E obrigado!
    – user3628
    3/04/2014 às 14:56

Você deve fazer log-in para responder a esta pergunta.