我需要什么樣的簽名才能使用 IMAGE_DLLCHARACTERISTICS_FORCE_INTEGRITY？

Question

我的一個玩具項目需要 PE header 中的 IMAGE_DLLCHARACTERISTICS_FORCE_INTEGRITY 才能運行。 我一直在通過測試簽名對其進行測試，但如果我負擔得起，我正在考慮購買證書。

這方面的文件太舊了，所以我不確定應用程序是否會使用用於內核模式簽名的交叉簽名證書或 Authenticode 代碼簽名證書進行簽名。 雖然后者便宜很多，但我還是買不起。

本文只談簽名流程，不談證書要求。 這個建議使用Microsoft Azure 代碼簽名項目，但不解釋細節。 Stack Overflow 上的 Raxi 在這個問題中聲稱 Authenticode 簽名就足夠了，但我無法從參考資料中找到它。

那么 Authenticode 簽名是否足以運行帶有 IMAGE_DLLCHARACTERISTICS_FORCE_INTEGRITY 的可執行文件？

感謝任何了解此事並願意提供幫助的人。

Answer 1

我有一個 Authenticode 證書，並且可以確認它不足以成功加載帶有該標志的 PE 文件。 如果我的 Authenticode 證書的根 CA 有交叉簽名鏈，理論上我可以這樣做，但只有驅動程序簽名證書具有 Microsoft 交叉簽名的根 CA。

您需要一個 kernel 模式驅動程序證書（即使您實際上並未制作驅動程序）來簽署可執行文件。

據推測，一旦 Azure 代碼簽名公開可用（誰知道需要多長時間），您就可以（免費）以該標志有效的方式對文件進行簽名。