Knowledge Base

質問

EVコードサイニング証明書またはOVコードサイニング証明書を使用して、Microsoft Windows ソフトウェアに署名する方法を教えてください。

回答

コードサイニング証明書を使用してソフトウェアに署名するには、以下を最初にダウンロードしてインストールします。

1. Microsoft Windows SDK (signtool.exeを取得するために要インストール)
2. SafeNet Authentication Client
   https://www.digicert.com/StaticFiles/SafeNetAuthenticationClient-x64.msi
   ソフトウェアのバージョン違いは、こちら のサイトをご確認ください。
   
   

Sign Tool がサポートする、オプションを以下に例として示します。

• sign: 任意のファイルに署名を行います。
• /v: コマンドが正常に実行したか、失敗したかにかかわらず、詳細出力と警告メッセージが表示されます。
• /s: 証明書のストアを指定します。（証明書が個人ストアへインポートされた場合は、SPCCertificateStore はMYになります)
• /tr: タイム スタンプ サーバー（TSA）の URL を指定します。このオプションが指定されていない場合、署名されたファイルにはタイム スタンプが付きません。
• /sha1:署名証明書の SHA1 ハッシュ（証明書の拇印）を指定します。
  
  

コマンドラインを使った署名

コマンドラインを使った署名の手順は以下の通りです。

1. コンピューターにSafenet USB トークンを接続します。
2. 「スタート」 > 「ファイル名を指定して実行」
3. 「CMD」と入力して、 > OKをクリックします。
4. コマンドプロンプト画面がひらいたら、signtoolがあるディレクトリへ移動します。
   例: 
   C:\Program Files (x86)\Windows Kits\10\bin\\x64\signtool.exe
   
   Note:
   • Windows SDK のバージョンにより <version> の値は異なります。
   • 環境によっては x86 / x64 / arm64 フォルダが存在します。
   • コマンドプロンプトで where signtool を実行すると実体パスを確認できます。
   • ルートディレクトリやパスは上記と異なる場合があります。
5. 以下のコマンドの一つを実行します。
   
   
   • タイムスタンプありの場合
     signtool.exe sign /fd sha256 /s my /tr http://timestamp.digicert.com /td sha256 /v "C:\filename.dll"
     
     Note: 複数の証明書が個人ストアにインストールしてある場合、/sha1オプションを使用して、EVコードサイニング証明書のハッシュ値を指定します。
     例 :
      signtool.exe sign /fd sha256 /tr http://timestamp.digicert.com /td sha256 /sha1 {SHA1_hash_value} /v "C:\filename.dll"
     
     
   • タイムスタンプなしの場合
     signtool.exe sign /fd sha256 /s my /v  /td sha25 "C:\filename.dll"
     
     Note : 複数の証明書が個人ストアにインストールしてある場合、/sha1オプションを使用して、EVコードサイニング証明書のハッシュ値を指定します。
     例 :
      signtool.exe sign /fd sha256   /sha1 {SHA1_hash_value}    /td sha25 /v "C:\filename.dll"  
6. 上述のコマンドを実行した場合、以下のダイアログが表示され、トークンパスワードの入力を求められます。
   
   Note : ファイルへの署名をバッチ処理したい場合は、SafeNetトークンへのシングルログオンを有効にしておく必要があります。詳細はこちらを参照ください。
   
   [FAQ] Safenet トークンのシングルログオンを有効にする
   
   シングルログオンを有効化してログオンしておけば、トークンパスワードの入力なしで署名をバッチ処理できるようになります。
   
   
7. トークンパスワードを入力して「OK」をクリックします。ファイルへの署名が成功した旨のメッセージが表示されます。

署名の検証

SDK SIGNTOOL.EXE ユーティリティには、ファイルを配布する前にデジタル署名をチェックする機能があります。

1. 「スタート」 > 「ファイルを指定して実行」
2. 「CMD」 とタイプして > OKをクリックします。
3. コマンドプロンプトから、signtool.exe があるディレクトリへ移動します。
4. 以下を実行します。
   signtool.exe verify /pa /v "C:\filename.dll"
   
   signtoolの詳細情報は以下のマイクロソフトのナレッジベースも参考にしてください。
   https://msdn.microsoft.com/ja-jp/library/windows/hardware/ff557573
   http://msdn.microsoft.com/en-us/library/aa388170（英語）
   http://msdn.microsoft.com/en-us/library/aa387764(v=VS.85).aspx （英語）