SignTool - 安全的工作流程？

Question

我们是代码签名新手，所以我对您使用签名工具的经验感兴趣，而不会将证书公开给公司中的每个人。

贵公司的每个人都可以进行代码签名吗？ 您是否将证书交给贵公司的每个人？

我们想要做一些自动工作流程，比如开发人员将这些文件放到一个目录中，每个文件都要签名。

感谢您的建议。

Answer 1

我的公司有一个VBScript包装器，可以自动执行签名和验证过程。 VBScript，signtool.exe，capicom.dll和PFX（包含证书链和私钥）都位于受密码保护的网络共享上。

每当有人需要签署二进制文件时，他们只需将文件拖放到VBScript上;它处理剩下的事情。虽然，由于我们的构建过程几乎完全自动化，因此它已被废弃。

在不利方面，它是一个VBScript。因此，私钥的密码是可见的，但这是密码保护共享的原因。

<强>附录

您可以执行类似的操作，即签署文件夹/共享中的任何文件，并配置Windows计划任务以每隔几分钟执行一次脚本。签名后，需要将文件移动到不同的文件夹，但这很容易。这将允许您限制对脚本，证书，私钥和文件签名文件夹的访问。