Windows 10 - signierte Installationsprogramme erhalten "diese Datei wird nicht häufig heruntergeladen", wenn sie von Github heruntergeladen wird

Question

Ich habe einige windows installers gehostet auf Github für ein Open-Source-Projekt, das ich kuratiere. Beim Herunterladen wird die Warnung "Diese Datei wird nicht häufig heruntergeladen" angezeigt, und wenn Sie das Installationsprogramm trotzdem ausführen, wird eine Fehlermeldung "Windows SmartScreen verhindert eine nicht autorisierte Anwendung wird gestartet" angezeigt (dies alles bevor die Benutzerzugriffssteuerung eintritt)).

Es gibt other questions and answers, die sagen, das ist ein Problem nur für unsignierte Installer, also habe ich Zertifikate gekauft und die Installer signiert. Dies hat immer noch nicht die Warnung loswerden.

Gibt es zusätzliche Anforderungen an die binäre Signatur, um diese Warnung zu vermeiden? Was ist der beste Weg, um es zu beseitigen?

Answer 1

Sie müssen tatsächlich ein Klasse 3 Zertifikat (EV) Code Signing Zertifikat erhalten, damit die Software erkannt und verifiziert werden kann.

Lassen Sie sich nicht in "Code Signing Certifcates" der Klasse 2 von Websites verführen, die sagen, dass sie diese Anforderung erfüllen, ganz zu schweigen von Namen wie "Godaddy". Dies sind SSL-Zertifikate, die auf Websites (meist) funktionieren, aber nicht auf Software. Sie erhalten weiterhin den Fehler und können nicht ohne Benutzereingriff installiert werden.

Zertifikate der Klasse 3 liegen einen Schritt über der Klasse 2. Für Klasse 2 ist keine "Erweiterte Validierung" erforderlich. Die Codesignaturzertifikate "EV" kombinieren jedoch alle regulären Vorteile von digital signiertem Code mit einem strengen erweiterten Validierungsprozess. Sie stellen den goldenen Standard für die Authentifizierung und Sicherheit in Codesignaturzertifikaten dar.

EV-Codesignaturzertifikate entsprechen den strengen Validierungsstandards des CA/Browser Forums und den Microsoft-Spezifikationen. Die erweiterte Authentifizierung wird über ein verschlüsseltes Token bereitgestellt, das den privaten Schlüssel enthält.