Neuigkeiten

Diese Anleitung stellt den Stand von April 2024 dar und beschreibt die erstmalige Bestellung eines EV-Zertifikats von GlobalSign. Es besteht kein Anspruch auf Korrektheit! Befolgen dieser Anleitung erfolgt auf eigene Gefahr!

Zertifikat bestellen

- Account Manager Clearance, damit wir auf Rechnung bezahlen können
- „EV Cert“ (nicht HSM) wählen, das ist die USB Token Variant
- „Fortiy“ wählen
- Approal und Vetting abwarten, es wird unter Anderem ein Anruf erfolgen

Token einrichten und mit Zertifikat

1. Achtung: Geht nur auf einem PC, nicht per RDP! Angeblich geht es aber, wenn man per TeamViewer drauf ist
2. Installieren: https://support.globalsign.com/ssl/ssl-certificates-installation/safenet-drivers
3. Stick einstecken
4. “SafeNet Authentication Client Tools“ öffnen
5. Zahnrad klicken, dann rechtsklick auf Token und „Initialize Token“
6. Diese Anleitung durchlaufen https://support.globalsign.com/ssl/ssl-certificates-installation/initialize-safenet-etoken-5110-cc-qualified-certificates
Dabei zu beachten: „Reset password“ ist irgendwie quatsch, das wird ja gemacht. „Token password must be changed on first logon“ muss rausgemacht werden, nicht so wie im Bildschirmfoto beschrieben.
7. Auf https://support.globalsign.com/ca-certificates/root-certificates/globalsign-cross-certificates das GlobalSign Code Signing Root R45 (R3 cross) suchen und installieren
8. Fortiy installieren: https://fortifyapp.com/
9. Zweiter Link aus der Email öffnen und Abholpasswort eingeben
„GlobalSign Certificate Center“.
10. Abhol-Passwort eintragen, dann Schritte durchlaufen. Wichtig: Das Token PASSWORT, nicht die PIN/PUK eingeben.

Eine EXE signieren

1. Windows SDK herunterladen (ist aber bei VC++ i.d.R. dabei) https://developer.microsoft.com/en-us/windows/downloads/windows-sdk/
2. SafeNet Authentication Client:
a. Zahnrad
b. Client Settings
c. “Enable single logon” anhaken
3. Befehl zum signieren siehe unten

Batch Datei zum Vermeiden von doppelten Signaturen

echo "C:\Program Files (x86)\Windows Kits\10\bin\10.0.22000.0\x64\signtool.exe" verify /pa %1
>NUL 2>&1 "C:\Program Files (x86)\Windows Kits\10\bin\10.0.22000.0\x64\signtool.exe" verify /pa %1 && (
echo File %2 is already signed, skipping
) || (
"C:\Program Files (x86)\Windows Kits\10\bin\10.0.22000.0\x64\signtool.exe" sign /a /tr http://timestamp.globalsign.com/tsa/r6advanced1 /td SHA256 /fd SHA256 /n "Firmenname" /v %1
exit /b 0
)

„Firmenname” ist der Name des Tokens, nicht der Name des Zertifikats auf dem Token?? Eigentlich sollte es der Zertifikatsname sein, aber „Firmenname GmbH“ funktioniert nicht?!

TOKEN Passwort eingeben.


Vorgehen beim Erneuern des Zertifikats nach 1 Jahr:

(Wird in Zukunft erweitert)

Diese Anleitung stellt den Stand von Februar 2025 dar. Es besteht kein Anspruch auf Korrektheit! Befolgen dieser Anleitung erfolgt auf eigene Gefahr!

Erster Kauf:

1. Zertifikat-Set (Hardware + Zertifikat) im Certum Shop kaufen https://shop.certum.eu/open-source-code-signing.html und bezahlen.

2. Sobald Zahlung bestätigt ist: Im Certum Loginbereich einloggen https://panel.certum.pl/dashboard (nicht im Shop einloggen), dann oben den „CertManager“ Bereich öffnen. Dort sollte das Code-Signing-Zertifikat aufgeführt sein.

3. Dort dann Unterlagen einreichen
a. Person wird mit Personalausweis und weiteren Dokumente verifiziert
b. Organisation wird mit einer PDF verifiziert, die OpenSource Projekte aufzählt

4. Cardreader (z.B. ACR40T-A1) und Smartcard per Post erhalten, Karte einsetzen (Kerbe nach außen, Kontaktfläche nach unten) und anschließen am PC. Treiber werden durch Windows installiert.

5. Download und installieren:
https://files.certum.eu/software/CertumSignService/Windows/2.1.45/

6. Download und installieren:
https://support.certum.eu/en/cert-offer-card-manager/

7. Card Manager öffnen, dann „Common Profile“ klicken und „Init“, dann eine PIN vergeben. ACHTUNG: Reiter dann nicht nochmal klicken, bis alles abgeschlossen ist, sonst wird der private Schlüssel gelöscht falls man das Meldungsfenster mit „Ja“ bestätigt!

8. https://certmanager.certum.pl/ aufrufen, dort Activate Certificate und Schritte durchlaufen. PIN eingeben und SignService wird gestartet zum erzeugen des Schlüsselpaars.

9. Nachdem Zertifikat ausgestellt wurde, dann rechts „Install certificate“ klicken, dann nochmal PIN eingeben und SignService wird gestartet zum Installieren des Zertifikats.

10. Computer MUSS neu gestartet werden, sonst findet Signtool das Zertifikat nicht

11. Für „signtool.exe“ muss das Windows SDK heruntergeladen werden bzw. es ist bei Visual Studio i.d.R. dabei. https://developer.microsoft.com/en-us/windows/downloads/windows-sdk/

12. Signieren mittels:
"C:\Program Files (x86)\Windows Kits\10\bin\10.0.22000.0\x64\signtool.exe" sign /a /tr http://time.certum.pl/ /td SHA256 /fd SHA256 /n "Open Source Developer" /v NameDerExeDatei.exe

Leider ist ein Single-Sign-On möglicherweise nicht möglich, was dazu führt, dass man bei InnoSetup-Kompilierung unzählige Male die PIN eingeben muss.

Erneuern des Zertifikats nach 1 Jahr:

(Anleitung wird geschrieben, wenn es bei uns soweit ist)