Windows WinQual：为什么我们不接受代码签名证书？

自2015年1月24日起编辑：现在无法使用其他受信任的证书颁发机构。问题和答案并非过时：

WinQual仍然拒绝签名：

当我们已经确定它是有效的数字签名时：

为了完整性，我将在下面留下其他人所做的编辑；我只是想指出他错了。他可以忍受这种耻辱：

---

从2014年开始编辑：现在可以使用其他受信任的证书颁发机构。问答已经过时了

---

2005年，我试图在微软建立一个WinQual帐户，这样我就可以获取通过Windows错误报告（WER）自动提交的崩溃转储文件（如果有的话）。我不被允许进行崩溃转储，因为我没有Verisign证书。相反，我有一个更便宜的，由Verisign的子公司Thawte生产

---

您加入的方法是：对他们提供的示例exe进行数字签名。这证明你是同一个签名者，该签名者签名的应用程序在野外遭到崩溃转储

密码学上，在可执行文件上生成数字签名需要私钥。只有该私钥的持有者才能为匹配的公钥创建签名。谁生成了私钥并不重要。其中包括从以下位置生成的证书：

• 自签名
• 迪吉塞特
• 安全信托
• 信任软件
• Verisign

然而，微软的WinQual只接受Verisign生成的数字证书。甚至Verisign的子公司也不够好（Thawte）

有人能想出微软不接受代码签名证书的任何技术、法律或道德原因吗？WinQual网站上说：

为什么需要数字证书 对于Winqual会员资格？

数字证书有助于保护 您的公司由寻求 冒充你的员工 或者谁会做出其他的暴力行为 欺诈你的公司。使用 数码证书可证明 用户或用户的标识 组织

Thawte数字证书是否不安全

---

两年后，我给WinQual发了一份提醒通知，说我一直在等着能够进入我的崩溃状态。WinQual团队的回应是：

你好,

谢谢你的提醒。我们有 通知相关人员： 这仍然是一个请求

---

2008年，我在一个Microsoft支持论坛上发言，得到的答复是：

我们只接受VeriSign 在这一点上。我们有 没有压倒性的需求 支持其他类型的证书

不接受其他类型的证书可能意味着什么

如果签署WinQual.exe测试应用程序的密钥的指纹与签署可执行文件的指纹相同，则说明您在野外获得的崩溃转储：已证明-它们是我的崩溃转储，请将它们提供给我

与所有其他数字签名相比，并没有专门的API来检查Verisign数字签名是否有效。无论是谁生成了密钥，有效的签名都是有效的

Microsoft可以不信任签名者，但这与identity不同

---

这就是我的问题，有人能想出WinQual不支持数字签名的实际原因吗

一个人认为答案是他们只是懒惰：

我不知道，但我想 管理winQual的团队 系统是一个实时的团队，而不是开发人员 团队-在个性和技能方面 面向现有设备的维护 系统。不过我可能错了

他们不想做改变它的工作。但是有人能想出什么需要改变的吗？不管是什么生成了键：“指纹匹配吗”，逻辑都是一样的

我错过了什么

---

更新 很高兴听到其他开发人员的故事。通过这种方式，我知道我并不孤单，这个问题可以作为微软方面改变的工具。即使我的初衷是抱怨，为了让这成为一个有效的StackOverflow问题，我也在寻找一个技术原因，为什么微软只能接受Verisign证书

crypto API不关心颁发证书的公司的名称：它只关心签名者链返回到受信任的根

微软没有使用已建立的加密基础设施，而是仅限于Verisign，这可能会发生什么

如果有人能指出任何一篇博客文章，其中一位程序经理或开发人员解释了原因，我可能会感到满意

---

更新二 人们似乎忽视了我问题的重点。Windows已经有了代码基础结构，可以确保数字签名证书受根颁发机构的信任。这是一个数字签名的屏幕截图，在我们的一个签名的可执行文件上

您可以看到，我们的证书由Thawte的代码签名机构证书签名，该证书由Thawte签名：

默认情况下，“解冻”证书随Windows一起提供：

Thawte Premium Server CA足够好，Windows和Internet Explorer的每个副本都信任它。并且已经有一个已建立的API来检查证书是否有效（即受信任）

当WinQual公司的人出现时，他们不得不想方设法避免检查正确的方法，而是推出自己的解决方案，只将Verisign硬编码为可信根为什么会