证签技术知识库

重要告示：任何证书拥有者都不得使用其购买的代码签名证书为间谍软件、流氓软件、黑客软件等恶意软件和盗版软件进行数字签名，也不得在违反国家有关法律法规的网站上使用，否则，一经用户举报和查实，CerSign可以立刻吊销此证书，不但不退款，而且还会配合有关部门追究可能由此带来的一切法律责任。

本使用指南演示如何使用 CerSign微软代码签名证书来给Windows平台代码签名，签名工具为WDK自带的签名工具软件 SignTool.exe,此签名工具软件仅支持DOS命令符方式签名。

1. 获取代码签名证书：

登录您的证签账户，下载您的代码签名证书，下载时需要设置证书保护密码，请牢记。下载后的文件名为证书申请单位名称.pfx，如下图所示：

2. 用SignTool签名工具签名(方法一)：

首先需要下载 signtool，然后将您的证书文件放到签名工具signtool所在目录，如果是中文证书文件名，建议修改为英文，如：CsCsEn.pfx，执行以下命令：
signtool sign /v /f CsCsEn.pfx /p xxx /fd SHA256 /tr http://timestamp.sectigo.com /td SHA256 test.exe

请注意：签名时，一定要保证能连上互联网，否则由于无法访问时间戳服务器而失败。
签名完成后，如果显示“Successfully signed: test.exe”, 如下图所示，这表明签名已经成功：

3. 用SignTool签名工具签名(方法二)：

请先将您的证书XXX.pfx文件安装到windows系统中的mmc，签名命令行为：
signtool sign /v /s my /fd SHA256 /tr http://timestamp.sectigo.com /td SHA256 test.exe

请注意：签名时，一定要保证能连上互联网，否则由于无法访问时间戳服务器而失败。
签名完成后，如果显示“Successfully signed: test.exe”，如下图所示，这表明签名已经成功：

您还可以使用以下命令验证签名是否完全正确：
signtool verify /v test.exe

如果显示如下图一样的证书签名信息，则说明签名完全没有问题！请注意：必须要有图示正确的4级证书签名路径，第1级为：AAA Certificate Services；第2级为：USERTrust RSA Certification Authority；第3级为：CerSign Code Signing CA； 第4级为颁发给您的公司的微软代码签名证书， 如果证书公司名称为中文，则在签名工具中显示不出来(为空)，但这并不影响签名效果。

(1) EV代码签名证书主要用途是用于建立 Windows开发人员硬件仪表板账户, 用EV代码签名证书数字签名指定文件来证明开发者的可信身份，证签EV代码签名证书由Sectigo签发，为微软指定的 6家CA 之一。

(2) 用户还可以使用EV代码签名证书数字签名各种软件代码，请参考普通代码签名证书使用指南指南。不同的是，使用EV代码签名证书数字签名.exe等可执行文件，自动获得Windows SmartScreen信誉，直接允许安装。而使用普通代码签名证书签名的新发布的软件可能会被Windows拦截，需要积累信誉。