Windows 10 - les installateurs signés obtiennent "ce fichier n'est pas couramment téléchargé" lorsqu'il est téléchargé depuis Github

Question

J'ai quelques windows installers hébergé sur Github pour un projet open-source que je sélectionne. En les téléchargeant, l'avertissement "ce fichier n'est pas toujours téléchargé" apparaît, et si vous exécutez le programme d'installation malgré cela, un message "Windows Smartscreen empêche le démarrage d'une application non autorisée" (tout ceci avant que les contrôles d'accès utilisateur).

Il ya other questions and answers qui disent que c'est un problème seulement pour les installateurs non signés, j'ai donc acheté des certificats et signé les installateurs. Cela a toujours pas débarrassé de l'avertissement.

Existe-t-il des exigences supplémentaires pour la signature binaire afin d'empêcher cet avertissement? Quelle est la meilleure façon de l'éliminer?

Answer 1

Vous aurez en fait besoin d'un certificat de signature de code de certificat de classe 3 (EV), ce qui permettra de reconnaître et de vérifier le logiciel. Ne vous laissez pas tromper par les «Certifications de signature de code» de classe 2 provenant de sites qui répondent à cette exigence, sans mentionner les noms tels que «Godaddy». Ce sont des certificats SSL qui fonctionneront sur les sites Web (la plupart) mais pas sur les logiciels. Vous continuerez à obtenir l'erreur et l'impossibilité d'installer sans intervention de l'utilisateur.

Les certificats de classe 3 dépassent la classe 2. La classe 2 ne nécessite pas de «validation étendue». Cependant, les certificats de signature de code «EV» combinent tous les avantages habituels du code signé numériquement avec un processus de validation étendu et rigoureux. Ils représentent la référence en matière d'authentification et de sécurité dans les certificats de signature de code.

Les certificats de signature de code EV respectent les normes de validation strictes du forum CA/Browser et les spécifications Microsoft. L'authentification améliorée est fournie via un jeton chiffré contenant la clé privée.