Pourquoi un exécutable signé numériquement serait-il traité comme non signé jusqu'à ce que les détails du certificat soient affichés?

Question

Je reçois un résultat très étrange lors de l'exécution d'un exécutable qui a été signé numériquement.

L'exécutable a été signé à l'aide de signtool.exe à l'aide d'un certificat de signature de code de niveau 2 approprié (non auto-généré).

En testant sur une machine Windows 7, si je lance l'exécutable signé, j'obtiens la boîte de dialogue d'avertissement de Windows disant Éditeur inconnu (c'est-à-dire non signé). Cependant, si je puis annuler et cliquez avec le bouton droit sur l'exécutable et aller à Propriétés -> Signatures numériques, la liste Signature montre le certificat signé, sur lequel je peux ensuite cliquer et choisir "Détails" pour voir les détails de la signature, qui est indiquée comme "La signature numérique est OK".

À ce stade, si je lance l'exécutable, maintenant tout à coup, Windows reconnaît correctement que l'exectuable est signé et signale le bon "Verified Publisher". Il semble que peut-être Windows n'a pas vérifié le certificat en ligne avant d'aller voir les détails du certificat dans la boîte de dialogue des propriétés de l'exécutable (notez que ce n'était pas juste un délai après le lancement de l'exécutable, ça n'a pas d'importance combien de temps j'attends ou combien de fois je le lance, il le traite comme non signé jusqu'à ce que j'entre dans les propriétés/signatures numériques du fichier).

Ceci est une installation Windows 7 générique que j'utilise pour tester - elle n'a été ni modifiée ni modifiée d'aucune façon. Ce comportement semble aller à l'encontre de l'objectif principal de la signature de code sous Windows: comment peut-il être traité comme non signé, à moins que l'utilisateur ne sache aller dans les propriétés du clic droit et chercher un certificat.

Y a-t-il quelque chose qui me manque? Un moyen de marquer l'exécutable comme un Windows devrait activement aller vérifier le certificat de lorsqu'il est exécuté?

Answer 1

La révocation OCSP la plus probable n'a pas pu être vérifiée automatiquement pour une raison quelconque (problèmes de connectivité, etc.). Vous devez effectuer les tests sur plusieurs systèmes afin d'affiner le problème.