【Windows】数字签名
1 系统正常情况下的操作步骤
下面所有需要输入密码的，请输入同一个密码，所以你要记住自己创建的密码。
1.1 SignTool.rar 下载工具包或者
方法一、如果您安装Microsoft Visual Studio 2005，那么请在安装目录的（..\Common7\Tools\Bin\）下找到相关的工具（makecert.exe、cert2spc.exe、signcode.exe）；
方法二、如果没有安装Microsoft Visual Studio 2005且没有数字签名工具包，请从此处下载。
http://download.csdn.net/detail/chenlu5201314/9700199
下载并解压工具包，工具包包括以下几个软件：
makecert.exe 制作cer格式的证书，即X.509证书，同时可以创建私钥cert2spc.exe 将cer格式证书转换成spc格式证书，即PKCS#7证书signcode.exe 将证书签署到ocx上去chktrust.exe 检查签署证书后的ocx是否正确；还有一个certmgr.exe，是管理证书用的。可以从这里面导出root.cer来，网上很多文章写到这个证书，但是在VC的安装盘中却找不到。其实，没有也没关系的。这几个软件可以从VC的安装盘中找到。
1.2 、makecert.exe 创建证书
为了便于操作,建议你将这个工具包放在磁盘根目录下,目录名称起得简单些，进入DOS模式下跳到该目录，输入以下命令,生成一个名为sagecert.cer的证书，如果需要重新创建证书，请将目标文件夹的*.PVK、*.cer、*.spc等文件删除
makecert /sv"SageKey.PVK" /n"CN=Sagecreation.com.cn,E=Sagecreation-163-com-cn,O=北京赛智创业有限公司" sagecert.cer
| /sv |
指定主题的.pvk 私钥文件。如果该文件不存在，系统将创建一个。 |
| "SageKey.PVK" |
自定义.pvk 私钥文件 |
| /n |
指定签名人信息信息。此名称必须符合 X.500 标准。最简单的方 法是在双引号中指定此名称，并加上前缀 CN=；例如， -n "CN=myName"。
|
| CN=Sagecreation.com.cn |
签名人信息-名称 |
| 签名人信息-电子邮件 |
|
| O=北京赛智创业有限公司 |
签名人信息-组织信息 |
| sagecert.cer |
自定义.cer证书文件 |
这些根据你自己的要求填写，最后得到SageKey.PVK和sagecert.cer两个文件。
其中各参数的含义,使用
makecert -?
makecert -!
可以获得详尽的帮助,在这里就不说了
在弹出的窗口输入密码保护你的证书，这个密码要在后面反复使用多次，所以要记住了
输入私人密钥的保护密码
1.2.1 创建私钥密码
1.2.2 输入私人密钥
输入完成后界面上会提示Succeeded，在当前的目录下也生成了*.cer和*.pvk两个文件。
1.3 、cert2spc.exe 格式转换（可以省略）
将cer格式转换为spc格式。
cert2spcsagecert.cer sagecert.spc
得到*.spc文件。
1.4 、signcode.exe 签名
给ocx、sys、exe、dll、cab等进行签名，下面我们对例子程序进行签名。
1.4.1 欢迎使用数字签名向导
双击工具包里的“signcode.exe”，signcode运行后会出现“数字签名向导”。
1.4.2 文件选择
首先选择你要签名的文件，例如下图所示的Exe文件，然后点击“下一步(N) >”。
1.4.3 签名选项
一种是“典型(T)”，一种是“自定义(C)”。我们选择“自定义(C)”，然后点击“下一步(N) >”。
1.4.4 签名证书
点击“从文件选择(F)...”，弹出“打开”文件对话框。
选择cer文件或者spc文件。点击“打开(O)”,然后点击“下一步(N)>”。
1.4.5 私钥
点击“浏览(R)...”,弹出“打开”对话框。
选择私钥文件*.PVK，点击“打开(O)”。
选择“CSP”，选择完成后，点击“下一步(N) >”。
输入私钥的“密码(P)”，输入完成后点击“确定”。
1.4.6 散列算法（哈希算法）
选择“散列算法”(“哈希算法(H)”)，一般用“md5”就可以了，点击“下一步(N) >”。
1.4.7 其它证书
保持默认，点击“下一步(N) >”。
1.4.8 数据描述（可选）
填写“描述(可选)(D)”和“Web位置(可选)(W)”,点击“下一步(N) >”。
1.4.9 给数据盖时间戳（可选）
“将时间戳添加到数据中(D)”可以勾选也可以不勾选。
如果没有勾选了“将时间戳添加到数据中(D)”，点击“下一步(N) >”；如果勾选了“将时间戳添加到数据中(D)”，请填写“时间戳服务(T)”,可以是下列URL中的一个，然后点击“下一步(N) >”。
http://timestamp.wosign.com/timestamp
http://timestamp.verisign.com/scripts/timstamp.dll
http://timestamp.globalsign.com/scripts/timstamp.dll
http://timestamp.comodoca.com/authenticode
1.4.10 正在完成数字签名向导
查看“已指定下列设置”的内容，确认后点击“完成”。
输入私钥密码，点击“确定”，弹出“数字签名向导已经成功完成。”的提示，表示已经签名完成。
1.5 、chktrust.exe 检查
检测数字签名是否正确，在DOS窗口输入下列命令中的一种：
chktrust.exeC:\SignTool\ChemiCapture(Release).exe
chktrust –v C:\SignTool\ChemiCapture(Release).exe
如果下图所示，DOS窗口显示“C:\SignTool\ChemiCapture(Release).exe：Succeeded”表示签名成功。
2 遇到问题及解决方案
2.1 数字签名向导-签名证书和私钥不匹配，或者不数据包含有效信息。
解决方案:选择合适CSP
2.2 数字签名向导-您必须指定加密服务提供程序
2.2.1 解决方案
2.2.1.1 第一步：检测下列windows相关服务属性是否为（启动类型 = 自动；服务状态 = 已启动）
Protected Storage服务
Cryptographic Service服务
Encrypting File System (EFS)服务
2.2.1.2 第二步：在注册表中搜索下列相关内容，如果没请重装系统或者使用其他计算机进行签名
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider
Provider
| CSP（C） |
Image Path |
Types |
| Microsoft Base Cryptographic Provider v1.0 |
rsaenh.dll |
1 |
| Microsoft Base DSS and Diffie-Hellman Cryptographic Provider |
dssenh.dll |
13 |
| Microsoft Base DSS Cryptographic Provider |
dssenh.dll |
3 |
| Microsoft Base Smart Card Crypto Provider |
basecsp.dll |
1 |
| Microsoft DH SChannel Cryptographic Provider |
dssenh.dll |
18 |
| Microsoft Enhanced Cryptographic Provider v1.0 |
rsaenh.dll |
1 |
| Microsoft Enhanced DSS and Diffie-Hellman Cryptographic Provider |
dssenh.dll |
13 |
| Microsoft Enhanced RSA and AES Cryptographic Provider |
rsaenh.dll |
24 |
| Microsoft RSA SChannel Cryptographic Provider |
rsaenh.dll |
14 |
| Microsoft Strong Cryptographic Provider |
rsaenh.dll |
1 |
Provider Type
| Types |
Name |
TypeName提供程序类型(V) |
| 1 |
Microsoft Strong Cryptographic Provider |
RSA Full (Signature and Key Exchange) |
| 3 |
Microsoft Base DSS Cryptographic Provider |
DSS Signature |
| 12 |
Microsoft RSA SChannel Cryptographic Provider |
RSA SChannel |
| 13 |
Microsoft Enhanced DSS and Diffie-Hellman Cryptographic Provider |
DSS Signature with Diffie-Hellman Key Exchange |
| 18 |
Microsoft DH SChannel Cryptographic Provider |
Diffie-Hellman SChannel |
| 24 |
Microsoft Enhanced RSA and AES Cryptographic Provider |
RSA Full and AES |
2.3 数字签名向导-Windows无法构建申请的证书路径。
解决方案:在makecert 的DOS命令中加入“-$ "individual" -r”，重新生成私钥（PVK）和证书(CER)文件。签名时选用“md5”算法。
例如：
Xp下
makecert /sv"SageKey.PVK" /n"CN=Sagecreation.com.cn,E=Sagecreation-163-com-cn,O=北京赛智创业有限公司" sagecert.cer
Win7下
makecert /sv"SageKey.PVK" /n"CN=Sagecreation.com.cn,E=Sagecreation-163-com-cn,O=北京赛智创业有限公司" sagecert.cer -$ "individual" -r