オープンソース開発者向けコードサイニング証明書

【2022/08/28追記】コマンドラインオプション例修正

タイムスタンプサーバーの仕様変更に伴い、コマンドラインオプションを修正しました。

【2023/03/11更新】おススメ記事と私のメモ

・コミュニティー製の Firefox 派生ブラウザーにデジタル署名を付けた話（すらーぷの妖精さん）
・個人開発者でコードサイニング証明書を取ろう 2021（弦生ささとさん）
・個人開発者でも出来るコードサイニング証明書によるWindowsアプリの署名（TAKUYAさん）

コードサイニング証明書があと1ヶ月で切れてしまうので、更新準備を始めたのですが、手元のUSBトークン＋SIMカードは、昨年の5月以降更新には使えなくなったことが判明orz

慌てて最新版のUSBトークン＋SIMカードを注文しました。本体€69＋送料関税€69で18,222円・・・高いhttps://t.co/Hvq44lhOJf pic.twitter.com/VpECZtTQ0k
— hiyohiyo (@openlibsys) February 13, 2022

以下参考

米GlobalSginに続き、グローバルサイン（日本法人）も個人開発者向けのコードサイニング証明書発行を止めてしまったので、次はどうしようかと思案していたわけですが、Certum Opensource Code Signing を参考に Certum のオープンソース開発者向けのコードサイニング証明書を取得しました。> デジタル署名

※Certum Opensource Code Signing を前提とした内容のため、未読の方は先にご確認ください。

必要なもの

パスポートなどの身分証明書
ゆうちょ銀行の残高証明書などの英語で住所が確認できる書類
オープンソースプロジェクト
本名および居住地域（都道府県）を公開する覚悟
1万円数千円程度の費用（1年目、2年目は25ユーロ）

はまりポイント

メール認証用コードが迷惑メールに・・・
PIN/PUKは、proCertum CardManager アプリから設定（要初期化）。
コードサイニング証明書をインポートしても再起動するまでデジタル署名ができない。
⇒ 再起動後は、問題なくデジタル署名できました。

デジタル署名用コマンド例

signtool.exe sign /n "Open Source Developer, XXXX XXXX" /fd sha1 /t http://time.certum.pl/ XXXX.exe
signtool.exe sign /n "Open Source Developer, XXXX XXXX" /fd sha256 /td sha256 /tr http://time.certum.pl/ /as XXXX.exe

XP/Vistaなど古いOSは、SHA-2に非対応のため、SHA-1でデジタル署名した上で、SHA-2で追加署名します。XP/Vistaには、Certumの有効なルート証明書が入っていませんが、Root Certificates から “Certum Trusted Network Certification Authority” をインストールすることで、コードサイニング証明書を検証できるようになります。