Spricht was dagegen, mit Let's Encrypt ein Zertifikat zu erstellen? Die gibt's kostenlos.

Let's Encrypt gibt nur Zertifikate für Web-Server heraus.

Für welchen Zweck, wird das Code-Signing-Zertifikat benötigt? Nur innerhalb eines Unternehmens oder allgemein für jeden Anwender?

INOPIAE schrieb:

Let's Encrypt gibt nur Zertifikate für Web-Server heraus.

Stimmt nicht ganz. Alles, was mit einer Domain zu tun hat, kann von LE zertifiziert werden. Du hast aber natürlich Recht, dass man damit keinen Code signieren kann.
Das hatte ich falsch in Erinnerung.

John422 schrieb:

Bin ich im falschen Unterforum?

Nein, das Unterforum ist absolut korrekt.

Es dürfte wohl einfach zu wenig Forenmitglieder geben, die die Notwendigkeit sehen, ihren Code zu signieren.

John422 schrieb:

Sonst keiner Erfahrungen damit?

Erfahrung schon, aber nur im Bereich C++ und Linux. Da verwende ich self-signed Zertifikate, die auch nur innerhalb eines Unternehmensnetzwerkes geprüft werden können.

Letzten Endes sind es nur zwei Dateien, die dir zum Download zur Verfügung gestellt werden. Also nichts wildes.
Was genau ist denn das Problem?

Hier sind alle Topics zu dem Thema, die in den letzten 4 Jahren gepostet wurden (alles davor ist sicher zu alt):

Meine Software mit Zertifikat
Code Signing wie vorgehen?
Fertige exe - SmartScreen Unbekannter Hersteller
exe Signieren

Hast du da mal reingeschaut, ob es da was hilfreiches gibt?

Wenn ich Dich richtig verstehe, geht es Dir darum zu verstehen, ob Du eher ein Hardware oder Software Token haben möchtest.

Bei Zertifikaten geht es immer um Vertrauen in den Herausgeber des Zertifikats und den Besitzer des Zertifikats.

Als erstes muss man dem Herausgeber eines Zertifikats vertrauen und darauf, dass er die Identität des Besitzer des Zertifikates sorgsam geprüft hat. (Dies wird bei Let's Encrypt nur sehr rudimentär gemacht)
Dabei sollte man auch überlegen, ob man blind allen Zertifikaten in den Truststores der Betriebssysteme vertrauen will.

Als zweites muss man dem Besitzer des Zertifikats vertrauen, dass er seinen privaten Schlüssel sicher aufbewahrt.
Hier obliegt es jedem Nutzer zu überlegen, wo der private Schlüssel generiert wird und wo der privaten Schlüssel ablegt. Lokal auf der Festplatte, in einer Cloud oder auf einem Hardware-Token.

Des Weiteren gelten für das Ausstellen von Codes-Signing Zertifikaten eigentlich die Baseline Requirements des CAB-Forum (cabforum.org/baseline-requirements-code-signing/)

BTW: Google hat für Let's Encrypt beim CAB-Forum durchgesetzt, dass neue Webserver-Zertifikate ab April nur noch die Laufzeit von 90 Tagen haben dürfen. Jeder Webadmin wird sich freuen.

Ich verwende seit 2 Jahren das Zertifikat von Sectigo (Comodo).
Ich habe mich aber für einen Hardware-Token entschieden.
Das ist superpraktisch.

Die Abwicklung hat zwar ein paar Tage gedauert, aber bei der Erneuerung hat man ja keinen Stress, wenn man ein paar Tage vor Ablauf erneuert .