Base de Connaissances

Préparer votre ordinateur et votre jeton sécurisé pour signer des fichiers de code avec SignTool

Préparer le jeton et l’ordinateur

1. Jeton sécurisé

   1. Utilisation d’un jeton matériel fourni par DigiCert

      Si vous avez acheté un jeton matériel fourni par DigiCert, consultez Configurer votre eToken fourni par DigiCert
       

   2. Utilisation de votre jeton sécurisé

      Si vous utilisez votre propre jeton conforme à la norme FIPS 140-2 niveau 2 provenant d’un autre fournisseur, procédez comme suit:

      1. Installez le matériel nécessaire au fonctionnement du jeton sur votre PC.

      2. Installez votre certificat de signature de code sur votre jeton avant de poursuivre le processus de signature.

2. Windows SDK

    Installez le Windows SDK sur votre ordinateur.
    

Signer vos fichiers

Utilisez la commande SignTool pour signer vos fichiers. Vous pouvez utiliser la méthode automatique ou manuelle ci-dessous.

Méthode automatique ou manuelle

Si vous disposez de plusieurs certificats de signature de code sur votre ordinateur, nous vous recommandons de sélectionner manuellement le certificat à utiliser pour signer le code. Lorsque vous exécutez l’une des commandes SignTool, modifiez la section en rouge afin qu’elle corresponde au nom de votre ou vos fichiers. Après avoir exécuté la commande, vous êtes invité à saisir le mot de passe de votre jeton.

1. Sélection automatique du certificat de signature

   En suivant les étapes ci-dessous, SignTool sélectionne automatiquement le certificat de signature de code qui sera utilisé pour signer votre fichier:

   1. Ouvrez Command Prompt en tant qu’administrateur.
       

   2. Exécutez la commande suivante: 

      signtool sign /tr http://timestamp.digicert.com /td sha256 /fd sha256 /a "c:\path\to\file_to_sign.exe"
      Dans la commande, remplacez "C:\path\to\fileToSign.exe" par le chemin exact du fichier que vous souhaitez signer.
       

   3. Vous devriez ensuite recevoir une confirmation indiquant que le fichier a été signé et horodaté avec succès.
       

2. Spécifier manuellement un certificat de signature de code 

   Vous pouvez spécifier le certificat à utiliser pour signer votre fichier à l’aide de la commande SignTool manuelle ci-dessous:

   1. Obtenir le Subject Name du certificat de signature de code

      1. Pour obtenir le Subject Name d’un certificat dans votre compte utilisateur, accédez au menu Start, saisissez certmgr.msc, puis appuyez sur Enter.

      2. Dans la fenêtre certmgr, développez Personal > Certificates pour afficher tous les certificats installés pour ce compte utilisateur.

      3. Le Subject Name du certificat correspond au texte affiché dans le champ Issued To.

         
          

   2. Ensuite, dans la commande ci-dessous, remplacez "subject name" par le Subject Name de votre certificat et "C:\path\to\fileToSign.exe" par le chemin exact du fichier que vous souhaitez signer:

      signtool sign /tr http://timestamp.digicert.com /td sha256 /fd sha256 /n "subject name" "C:\path\to\fileToSign.exe"
       

   3. Vous devriez ensuite recevoir une confirmation indiquant que le fichier a été signé et horodaté avec succès.
       

Informations supplémentaires:

Signature de fichiers par lots

Pour signer vos fichiers par lots, vous devez activer l’authentification unique pour le jeton SafeNet. Une fois l’authentification unique activée et la connexion au jeton effectuée, vous pouvez signer vos fichiers par lots, ce qui vous permet de ne saisir votre mot de passe qu’une seule fois par session utilisateur.

Comment activer l’authentification unique pour un jeton SafeNet:

1. Ouvrez SafeNet Authentication Client Tools.

   Accédez à Start > Program Files > Safenet > Safenet Authentication Client Tools.

2. Cliquez sur l’icône Advanced View (engrenage doré).

3. Dans l’arborescence du volet de gauche, sélectionnez Client Settings.

4. Dans le volet de droite, sélectionnez l’onglet Advanced.

5. Dans l’onglet Advanced, sélectionnez l’option Enable single login.

6. Cliquez sur Save.

7. Pour activer la fonctionnalité d’authentification unique, déconnectez-vous de l’ordinateur, puis reconnectez-vous.

Identifier un certificat à l’aide de sa valeur de hachage

L’utilisation de la valeur de hachage d’un certificat de signature de code constitue une autre méthode permettant d’indiquer à SignTool quel certificat de signature de code utiliser.

Supposons que plusieurs certificats soient installés dans votre magasin de certificats Personal. Dans ce cas, il peut être préférable d’utiliser l’option /sha1 pour spécifier la valeur de hachage du certificat de signature de code plutôt que d’utiliser /a ou /n "subject name" dans la commande de signature.

Dans ce cas, vous utilisez la valeur d’empreinte de votre certificat de signature de code. Vous devez supprimer tous les espaces de la valeur d’empreinte; sinon, la commande ne fonctionnera pas. 

    signtool sign /tr http://timestamp.digicert.com /td sha256 /fd sha256 /sha1 [thumbprint] file.exe

Pour plus d’informations sur les différentes options de signtool.exe, consultez la documentation SignTool de Microsoft.