Как подтвердить, что два файла были подписаны одной и той же компанией?

Question

У меня есть два файла в Windows XP. Оба имеют вкладку "Цифровые подписи". Как я могу подтвердить, что они оба были подписаны одной и той же компанией? Я не хочу делать это программно, но с помощью интерфейса Windows.

Дополнительный вопрос: мне удалось вытащить файл ".cer" из одного, щелкнув по кнопке, и если бы я мог сделать это, конечно, кто-то другой мог бы сделать это и подписать свой собственный файл этим?

Примечание: Пожалуйста, не используйте все технические данные для меня - я не пойму - я просто хочу знать, как сделать это как конечный пользователь для моей собственной безопасности и понять, что все это значит и как именно это защищает меня. еще немного.

Answer 1

Список подписей на вкладке Цифровые подписи сообщает вам имя подписавшего. В случае компании это, как правило, название компании, например, "Microsoft Corporation". Если два имени совпадают, файлы, вероятно, были подписаны одной и той же компанией.

Заметьте, это не железная гарантия, потому что существует большое количество организаций, которым доверяют подписывать сертификаты ("центры сертификации"), и не во всех из них есть полностью разумные процедуры для проверки того, что сертификат они подпись действительно принадлежит человеку, на которого она претендует. Но это так же хорошо, как и получается.

Если вы имеете в виду, что вас беспокоит различие между двумя разными компаниями с одинаковым названием (возможно, в разных странах), то на самом деле не существует никакой надежной процедуры. В некоторых случаях два файла могут быть подписаны одним и тем же сертификатом. Посмотрите на эмитента, серийный номер и отпечаток. Если они все одинаковые, вы можете быть уверены, что это один и тот же сертификат. Однако то, что сертификаты разные, не означает, что они принадлежат двум разным компаниям.

Что касается вашего второго вопроса, файл сертификата (".cer") не позволяет подписать файл, потому что он не содержит закрытый ключ.

Answer 2

Нет, получение .cer оттуда не позволит никому использовать его, чтобы подписать свою программу. Процедура не является обратимой в этом смысле.

Обычно не важно, чтобы 2 программы были подписаны одним и тем же сертификатом, чтобы быть заслуживающими доверия. Для получения такого сертификата в первую очередь необходимо лично зарегистрироваться в центре сертификации. С адресом, номером телефона и именем.

Это означает, что если приложение подписано, вы всегда можете отследить его до лица, ответственного за него. Это важно, потому что тогда вы можете привлечь их к ответственности.