Как создать рабочий доверенный и/или самозаверяющий сертификат для приложения Windows 10 UWP через Visual Studio 2019, 2017 и 2015 – программирование

Question 1

В этой документации:

https://my-sertif.ru/en-us/windows-hardware/drivers/devtest/makecert

Следующая команда описывает создание cer-файла Windows (т. Е. Сертификата от доверенного провайдера).

Проблема заключается в том, что при создании приложения в Visual Studio 2021 он разрешает только через package.windows10.appxmanifest файл pfx. при обновлении этой ссылки на командную строку он не создает файл pvk, поэтому необходимо добавить

MakeCert -r -pe -ss PrivateCertStore -n "CN=Contoso.com(Test)" testcert.cer

Дополнительные параметры командной строки, такие как / sv SubjectKeyFile, которые будут создавать результирующий файл pvk.

Однако даже используя эту ссылку на командную строку:

MakeCert -r -pe -ss PrivateCertStore -n "CN=Contoso.com(Test)" -sv testcert.pvk testcert.cer

В результате имплантации файла сертификата в Visual Studio возникает следующая ошибка:

Разработчику манифеста не удалось импортировать сертификат.

Выбранный вами сертификат недействителен для подписи, так как срок его действия истек или возникла другая проблема. Для получения дополнительной информации см. http://go.microsoft.com/fwlink/?LinkID=241478

Захожу по ссылке и ничего толком не объясняет, что происходит. Один человек предлагает создать временный, который работает, но это неспецифический тестовый сертификат, срок действия которого составляет всего год.

Есть ли лучший способ создать сценарий с помощью makecert? Как узнать, правильно ли создается сертификат? Дополнительная документация была бы полезна, но я не нашел ничего другого.

Answer

Ответ, предоставленный @nico, содержит правильные утверждения, но заставил меня понять, что проблема была больше, чем я первоначально описывал. Итак, я очистил заголовок вопроса и вопрос, чтобы дать лучший вопрос и последующий ответ.

Обыскивая Интернет, я нашел многие из этих ответов в очень многих разных местах, например вопросы, ответы в комментариях, YouTube и т. д. Я решил разместить все это здесь, в красивом аккуратном месте, чтобы каждый мог найти ресурсы и изучить.

Во-первых, нужно спросить себя, для чего они используют приложение? Будет ли приложение загружено в Microsoft Store или оно предназначено только для внутреннего использования.

В любом случае вы захотите отладить и разработать приложение. Отладка не требует установки сертификата, так что в этом смысле мы в безопасности.

Если вы используете приложение внутри своей организации или просто на своем локальном компьютере, вам понадобится доверенный сертификат.

Этот сертификат может существовать в нескольких различных сценариях.

Вам нужен самозаверяющий сертификат или
Вам нужен сертификат, выданный центром сертификации ЦС, то есть вашей организацией или предприятием?

Я рассмотрю оба сценария. В любом случае протокол makecert устарел Замечания по прекращению поддержки makecert

Сценарий 1. Если вам нужен самозаверяющий сертификат, выполните следующие действия

Перейдите в powershell и используйте командлет New-SelfSignedCertificate pkiclient … что это будет делать, так это предоставить вам создание .cer и соответствующей комбинации закрытого ключа открытого сертификата = .pfx, если вы создаете для сертификата закрытого ключа … И у вас должен быть закрытый ключ, то есть .pfx, чтобы связать и упаковать ваше приложение с Visual Studio и установить его в локальный магазин приложений Windows (не путать с магазином Microsoft).

Вот ссылки для перехода *** Обязательно прочтите 1A перед созданием сертификата:

Создание подписи пакета сертификатаNew-SelfSignedCertificate

1А. *** Когда вы создаете New-SelfSignedCertificate, вы должны понимать, что сертификат должен быть создан очень специфическим образом. Это для самозаверяющего сертификата или сертификата, выданного ЦС.

В частности, сертификат должен обладать двумя свойствами.

А). Для расширения Basic Constraints должно быть установлено значение Subject Type = End Entity. Простыми словами это говорит о том, что … Когда этот сертификат выдается вам, вы не можете использовать этот сертификат в качестве дополнительного последующего центра сертификации с возможностью выдавать больше сертификатов. Другими словами … Это окончательный сертификат.

Вы можете прочитать больше об ограничениях здесь: https: //blogs.technet.microsoft.com/pki/2021/03/05/constraints-what-they-are-and-how-theyre-used/

Б). Для расширения Enhanced Key Usage (EKU) установлено значение Code Signing. Это предотвращает использование сертификата не по назначению … Это гарантирует, что программное обеспечение было получено от издателя программного обеспечения, &&& Защищает программное обеспечение от изменений после публикации.
В реквизитах сертификата информация будет выглядеть так:

Подпись кода (1.3.6..1.5.5.7.3.3) <<<< Это OID расширенного использования ключа для подписи кода числа 1.3.6 …

Эта информация была найдена случайным образом и не в каком-либо определенном порядке текущей документации, здесь:

Создание сертификатов для приложений Магазина Windows

1Б. Итак, наконец, для использования командлета New-SelfSignedCertifcate через PowerShell можно запустить команду как таковую:

New-SelfSignedCertificate -Type CodeSigningCert -Subject "CN=YourCompany CA, 0=Your Corporation, C=US" -TextExtension @("2.5.29.19={text}false") -KeyUsage DigitalSignature -KeyLength 2048 -NotAfter (Get-Date).AddMonths(33) -FriendlyName friendlyName2

Приведенная выше команда соответствует обоим критериям сертификата подписи кода (хотя вместо использования свойства -type вы могли бы выбрать oid расширения использования ключа с соответствующим типом подписи кода, то есть oid = 1.3.6.1.5.5.7.3 для подписи кода. 3)

Если вы запустите указанную выше команду в PowerShell, вы создадите 2 вещи, которые теперь можно экспортировать …

A.) открытый сертификат B.) закрытый ключ открытый сертификат, содержащийся в формате файла .pfx.

Теперь, когда у нас есть возможность экспортировать .pfx, вы можете создать пароль и экспортировать файл .pfx с закрытым ключом и сертификатом.

Используя команду, вы должны запустить командлет в PowerShell Export-PfxCertificate:

Вот документация по экспорту pfx:

https://my-sertif.ru/en-us/powershell/module/pkiclient/export-pfxcertificate?view=win10-ps

    $pwd = ConvertTo-SecureString -String <Your Password> -Force -AsPlainText 
    Export-PfxCertificate -cert "Cert:LocalMachineMy<Certificate Thumbprint>" -FilePath <FilePath>.pfx -Password $pwd

На этом этапе у вас есть ключ, который работает с Visual Studio, и теперь вы можете упаковать свое приложение и создать файл .appx или файл appxbundle, который можно будет развернуть в хранилище Windows на локальных машинах.

Подробные инструкции можно найти здесь:

https://my-sertif.ru/en-us/windows/uwp/packaging/packaging-uwp-apps

Сценарий 2. Если вам нужен доверенный сертификат от центра сертификации вашей организации

Здесь вы должны иметь в виду, что приведенный выше раздел актуален, но вам необходимо понимать различия между самозаверяющим сертификатом и доверенным корневым сертификатом CA и / или последующим CA.

Вот один из способов понять это. Первоначально корневой сертификат был самоподписанным сертификатом. Тем не менее, он может выдавать сертификаты другим пользователям для различных целей. то есть авторизация сервера или подпись кода … Подумайте об основных ограничениях БЕЗЛИМИТ. И он также может выдавать другие центры сертификации, которые могут выдавать сертификаты другим по разным причинам.

Это называется цепочкой сертификатов. Помните, что сертификат, который мы хотим для наших целей, является концом этой цепочки … Основные ограничения = LIMITED до 0 или false, что означает, что он должен быть подписан как End-endtity или Certificate Authroity = false … в других случаях словами, вы не можете выдавать дополнительные сертификаты ни по какой причине из этого выданного сертификата.

Поскольку это для приложения, которое просто нужно установить и использовать. Это имеет смысл.

Снова прочтите эту ссылку: https: //blogs.technet.microsoft.com/pki/2021/03/05/constraints-what-they-are-and-how-theyre-used/

Итак, в следующем сегменте я собираюсь объяснить, как запросить сертификат у вашего центра сертификации с помощью запроса сертификата. В мире Linux через openssl это называется .csr … В мире PowerShell это называется .req

Когда вы задаете параметры правильно … конечным результатом является файл, который может быть прочитан openssl или веб-сайтом проверки сертификата со сменным расширением .req или .csr

Powershell может создать это с помощью командлета CertReq .

Вы просто использовали бы эту команду вместе с передачей файла .inf, который создаст ваш запрос сертификата .req.

Certreq -new TestReqConfig.inf MyRequest.req

Файл .inf будет содержать параметры для ключа и информацию о сертификате, как при создании нового самоподписанного сертификата из приведенной выше информации.

Файл .inf будет выглядеть так:

[NewRequest] 
Subject = "C=US,ST=Florida,L=City,O=Your Company Information,OU=City 
Information,CN=certname.com" 
Requesttype = PKCS10
Exportable = TRUE
HashAlgorithm = md5
KeyAlgorithm = RSA
KeyLength = 2048 
KeyUsage = CERT_DIGITAL_SIGNATURE_KEY_USAGE 
FriendlyName = "FriendlyName CERT"
[Extensions] 
2.5.29.19 = "{text}false"
2.5.29.37 = "{text}1.3.6.1.5.5.7.3.3"

Requesttype = PKCS10 позволяет этому работать с декодером openssl csr … а все остальное объясняется на этих сайтах:

Декодер работает, открывая создаваемый файл и получая информацию, которая создается между ними.

-----BEGIN NEW CERTIFICATE REQUEST-----
-----END NEW CERTIFICATE REQUEST-----

Документация CertReq

req / csr декодер

Я надеюсь, что эта информация поможет кому-нибудь узнать о сертификатах и о том, как они используются при упаковке и создании приложений магазина Windows.

Question 2