是保护签名证书安全的方法吗?

Question

在EXE程序中封装" Signtool"是否安全？该程序依赖于附近受密码保护的PFX文件，并且知道其密码以访问其私钥。证书从未在签名的机器商店中。

我的想法是，即使PFX文件本身是自由分发的，未经授权的用途（在使用此EXE之外）会失败，因为没有人会知道其密码。

我意识到未经授权使用EXE是无法预防的，但它也可以记录其所有用途，因此至少我们有审核跟踪。

我正在尝试改进对先前证书所做的工作，即PFX文件及其密码的大规模分布... ugh。

谢谢。

Answer 1

好吧，我没有收到答案，但是我将其付诸实践，而且似乎很好。因为代码需要知道PFX密码，所以我构建了订单外，而不是将字符串直接放入代码中（以防止反向工程），然后在将这些部分存储在源控件中之前删除这些部分。