Valider la signature sur EXE avec CertGetCertificateChain

Question

Je voudrais vérifier un exécutable signé. L'exigence est de valider que l'exécutable lui-même est valide et d'où il vient (probablement de l'objet du cert). Le type de certificat est PKCS.

J'ai trouvé un affichage similaire ici, Validate Authenticode signature on EXE - C++ without CAPICOM

La documentation Microsoft, entre autres, semble pointer vers CertGetCertificateChain, mais les exemples ont tendance à travailler avec les certificats dans un magasin. Est-ce que quelqu'un sait comment valider un exécutable signé en utilisant CertGetCertificateChain et API connexes?

Answer 1

Pouvez-vous élaborer? la question à laquelle vous êtes lié semble fournir toutes les réponses dont vous auriez besoin. Vous indiquez que "les exemples ont tendance à fonctionner avec des certificats qui se trouvent dans un magasin", ce qui signifie que l'exécutable doit être signé avec un certificat qui s'enchaîne à un certificat racine dans le magasin de confiance de la machine.

Ceci est vrai; il n'y a aucun moyen de contourner cela, sinon il n'y a aucun moyen de croire que le signataire est ce qu'il dit qu'il est, et aucun moyen pour le fournisseur de révoquer le certificat si elle est utilisée frauduleusement. Donc, WinVerifyTrust est la bonne façon de valider un exécutable signé. C'est une API terrible alors faites attention. CryptQueryObject et les API correspondantes vous donneront plus d'informations telles que le nom de la personne ou de l'entreprise à laquelle le certificat a été délivré.

Answer 2

J'ai posé cette question some time ago. J'avais vos besoins exacts. Il y a un exemple de code qui vous aidera. S'amuser!!