SENSYN ROBOTICS（センシンロボティクス） Advent Calendar 2019 の 8日目 担当の @Chitama です。
センシンロボティクス という会社で Webやアプリを担当しています。

今回は、Windowsネイティブアプリで必要になるコードサイニング証明書の付与についてまとめてみました。

検証環境

• Windows 10
• Internet Explorer 11

コードサイニング証明書とは

コードサイニング証明書 (Codesigning) とは、オンラインで配布するソフトやプログラムにコード署名をして、ソフトウェアの開発元/配布元を明確にさせることで、コンテンツの完全性を証明するためのものです。

なぜ、コードサイニング証明書をつける必要があるのか？

こんな画面をみたことはありませんか？

この機能は、Microsoft SmartScreen というWindowsに最初から入っている標準セキュリティ機能で、Webからダウンロードしたアプリケーションの配布元がわからないから危険かもしれないけど大丈夫？という警告です。
この警告が表示される原因は主に次の2つです。

• 危険なサイトにアクセスしたり、危険なアプリケーションをインストールしようとしたりしている
• Webサイトやアプリケーションの安全性を調べるためのデータベースに接続できない

危険なアプリケーションと検知されないためにコードサインング証明書をアプリケーションにつけるわけです。

設定の流れ

1.コードサイニング証明書のタイプを選ぶ
　　↓
2. コードサイニング証明書の会社を選ぶ
　　↓
3. コードサイニング証明書を購入する
　　↓
4. コードサイニング証明書を申請する
　　↓
5. コードサイニング証明書をアプリケーションに付与する

所要時間

今回選択したコモドジャパンでは、購入からアプリへの証明付与まで1週間ほどでできました。
ただし、会社の実在証明として帝国データバンクもしくは東京商工リサーチ（ダンレポ）の登録している場合です。

購入して、営業時間内であればすぐに申請方法のメールが届く。(1日)
申請して、申請受領のメールが届く。(2日~３日)
申請結果が届く。(2日~4日)

実際、水曜日の午後に申請して、次の週の水曜日の真夜中に申請通過のメールが届きました。
参考：【徹底比較】帝国データバンクと東京商工リサーチは何が違う？どっちの情報が正しい？

1. コードサイニング証明書のタイプを選ぶ

コードサイニング証明書には通常のコードサイニング証明書とEVコードサイニング証明書があります。

今回は、次の理由で通常タイプとしました。

• ドライバーへの変更ない
• EVコード署名が高い（通常コードサイニングの約3倍）
• 通常コード署名でも10数回のダウンロード実績を稼げは警告が出なくなる

2. コードサイニング証明書の会社を選ぶ

今回は次の優先度で製品を選定しました。
① セキュリティレベル
② 価格
③ サポート体制
④ 実在確認の手間

複数の会社へ相見積や営業さんにヒアリングしたりした結果、 価格によるセキュリティレベルに差はありません。
一番安くて価格と日本語対応可能なコモドジャパンに決めました。
申請後の実在確認としてコールバックと呼ばれる電話がかかってきます。
英語での電話対応は不安だったので日本語でのコールバックはポイントでした。

コモドジャパンのコードサイニングは次のような仕様です。

参照：コモドジャパン

ここで、SmartScreen 即時解除 が非対応になっているので、疑問に思った方もいるかと思います。
SmartScreenが非対応ではなく、 SmartScreenの即時解除が非対応ということで、ファイルのダウンロード実績が少ないときに、SmartScreenの警告が表示されます。
これは10数回ダウンロードすれば解消されるので、問題ないのです。

3. コードサイニング証明書を購入する

コモドジャパンでは、アカウントを作ってWebのマイページから購入できます。
営業時間内に購入すれば、1時間以内にコモドジャパンから申請に関するメールが届きます。
件名： 【COMODO　JAPANより】コードサイニングのご注文について　注文番号：xxxxxx

• 価格:¥ 21,000円(税別)～
  • （年額）5年だと1万円off 94,200円(税別)～

4. コードサイニング証明書の申請する

購入完了メールに添付されたマニュアルにしたがって申請します。
注意ポイントは2つ。

• 申請で利用したPC端末でしかコードサイニング証明書の付与はできない
• 申請で利用するブラウザは、Internet Explorerのみ

申請の流れは次のとおりです。

1.コモドジャパンに、申請と書類の提出
　http://comodo.jp/support/codesign_2nd_val.html
　　↓
2.Webから申請後、国内審査を実施
　　↓
3.国内審査が無事通過したあと、本部の認証局側で審査を実施
　　↓
4.認証局側の審査が通過すると、コモドジャパンから最終審査(コールバック)が通知される
　　↓
5.最終審査が終了後、認証局(本部)より、申請時に入力されたメールアドレス宛に コレクションコード 送付される

5. コードサイニング証明書をアプリケーションに付与する

申請したPC端末でコレクションコード 送付されたメールに記載されているリンクを開いて証明書をインストールします。
インストールしたPFX (証明書と秘密鍵) を、SignToolを使ってEXEファイルに署名します。

# PCに保存・接続されている最適な証明書を使用してファイルに自動的に署名
signtool sign /a TargetApp.exe
# パスワードで保護された PFX ファイルを指定してファイルにデジタル署名
signtool sign /f MyCert.pfx /p MyPassword TargetApp.exe
# ファイルにデジタル署名してタイム スタンプを付与
signtool sign /f MyCert.pfx /t http://timestamp.sectigo.com/authenticode TargetApp.exe
# PCに保存・接続されている固有の証明書名 (例 ”My Company Certificate”) を指定してファイルに署名
signtool sign /n "My Company Certificate" TargetApp.exe
# ActiveX コントロールをユーザがインストールする際に表示させる情報として予め作成したURLを指定
Signtool sign /f MyCert.pfx /d: "TargetControlApp" /du http://www.example.com/MyControl/info.html TargetControlApp.exe
# デジタル署名済みのファイルにタイムスタンプを付与
signtool timestamp /t http://timestamp.verisign.com/scripts/timstamp.dll TargetApp.exe
# ファイルが署名済みであることを確認
signtool verify TargetApp.exe
# カタログで署名されている可能性があるシステムファイル確認
signtool verify /a SystemFile.dll

注意点

• Win10よりGUIは廃止になったので、コマンドラインで作成します。
• SmartScreenの即時解除が非対応 なので、アプリをダウンロードさせたいサイトからダウンロードを10回ほど繰り返して、警告がでないように実績を上げておきます。

まとめ

• 最新のまとまった情報が少なかったです。
• 申請は英語のサイトでしたが、マニュアルが送付されるので問題はありませんでした。
• 何かあっても、問い合わせの返信が翌営業日にはくるので、サポートも十分でした。

9日目は SENSYN DRONE HUB 担当の @nakayamaatsushi さんです✨