J & J - 정성태의 닷넷 이야기

사용자

메뉴

최근 덧글

[정성태] 그냥 RSS Reader 기능과 약간의 UI 편의성 때문에 사용...[이종효] 오래된 소프트웨어는 보안 위협이 되기도 합니다. 혹시 어떤 기능...[정성태] @Keystroke IEEE의 문서를 소개해 주시다니... +_...[손민수 (Keystroke)] 괜히 듀얼채널 구성할 때 한번에 같은 제품 사라고 하는 것이 아...[정성태] 전각(Full-width)/반각(Half-width) 기능을 토...[정성태] Vector에 대한 내용은 없습니다. Vector가 닷넷 BCL...[orion] 글 읽고 찾아보니 디자인 타임에는 InitializeCompon...[orion] 연휴 전에 재현 프로젝트 올리자 생각해 놓고 여의치 않아서 못 ...[정성태] 아래의 글에 정리했으니 참고하세요. C# - Typed D...[정성태] 간단한 재현 프로젝트라도 있을까요? 저런 식으로 설명만 해...

글쓰기

제목

이름

암호

전자우편

HTML

홈페이지

유형

내용

<div style='display: inline'>
<h1 style='font-family: Malgun Gothic, Consolas; font-size: 20pt; color: #006699; text-align: center; font-weight: bold'>임의로 만든 EXE 파일을 포함한 ZIP 파일의 압축을 해제할 때 Windows Defender에 의해 삭제되는 경우</h1>

Visual C++로 컴파일한 EXE 파일을 ZIP 파일에 포함해 Issue Tracker에 올려 두었더니, 다른 사람의 Windows PC에서 Defender가 해당 EXE 파일을 바이러스 취급해 버립니다. 그래서 아예 Edge 웹 브라우저 단계에서 zip 파일 링크를 누르면 다운로드 자체가 안 됩니다. 
 
그렇다면 다른 방법을 써야겠군요. ^^ 이번엔 Slack을 통해 zip 파일을 전달했더니 ^^; 이후 ZIP 파일의 압축을 푸는 단계에서 Windows Defender가 EXE 파일이 풀려나오자마자 삭제를 해버립니다. 
 
음... 그리하여 혹시나, 이런 경우 인증서 서명을 하면 되지 않을까 싶어 무심코 ZIP 파일에 했더니, 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
c:\temp&gt; signtool sign /fd sha1 /n JenniferSoft /t http://timestamp.digicert.com "c:\temp\test.zip"
Done Adding Additional Store
SignTool Error: This file format cannot be signed because it is not recognized.
SignTool Error: An error occurred while attempting to sign: c:\temp\test.zip
</pre>
 
오류가 발생하는군요. ^^ 왜냐하면 TXT 파일이나 ZIP 파일에는 인증서 서명을 위한 PE 파일 포맷의 영역이 없기 때문입니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
How to sign a zip file on a machine where a certificate is installed of which I do not know the path?
; <a target='tab' href='https://stackoverflow.com/questions/71129341/how-to-sign-a-zip-file-on-a-machine-where-a-certificate-is-installed-of-which-i'>https://stackoverflow.com/questions/71129341/how-to-sign-a-zip-file-on-a-machine-where-a-certificate-is-installed-of-which-i</a>
</pre>
 
즉, PE 파일 유형만 인증서 서명을 지원하기 때문에 ZIP 파일에 하면 안 되고, 그 ZIP 파일 내에 있는 EXE 파일에 대해 서명을 해야 합니다. 다행히, 해당 작업을 한 이후에는 Windows Defender가 더 이상 바이러스로 인식하지 않았습니다. (Windows Defender가 인터넷으로부터 다운로드한 파일에 대해 엄청 민감하게 반응하는군요. ^^) 
 
그렇긴 해도, PE 포맷이 아닌 경우 서명 작업이 필요하다면 별도의 catalog 파일을 생성하는 것으로 대신할 수는 있습니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
How to sign a ZIP file like I would sign an assembly?
; <a target='tab' href='https://stackoverflow.com/questions/16651959/how-to-sign-a-zip-file-like-i-would-sign-an-assembly/57126302#57126302'>https://stackoverflow.com/questions/16651959/how-to-sign-a-zip-file-like-i-would-sign-an-assembly/57126302#57126302</a>
</pre>
 
하지만, 별도 파일이므로 이걸로는 위/변조만을 체크할 수 있을 뿐이어서 차라리 그런 목적으로는 <a target='tab' href='https://www.sysnet.pe.kr/2/0/12176'>checksum 정도의 해시를 구하는 것</a>이 더 나을 것입니다. 
 
<hr style='width: 50%' /> 
 
참고로, 이전에는 잘 실행되던 signtool 명령어가 오류가 발생합니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
c:\temp&gt; signtool sign /n JenniferSoft /t http://timestamp.digicert.com "c:\temp\ConsoleApp1.exe"
SignTool Error: No file digest algorithm specified. Please specify the digest algorithm with the /fd flag. Using /fd SHA256 is recommended and more secure than SHA1. Calling signtool with /fd sha1 is equivalent to the previous behavior. In order to select the hash algorithm used in the signing certificate's signature, use the /fd certHash option.
</pre>
 
당황하지 마시고 ^^ 오류 메시지에서 알려주는 것처럼 /fd 옵션을 명시하시면 됩니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
signtool sign /fd sha1 /n JenniferSoft /t http://timestamp.digicert.com "c:\temp\ConsoleApp1.exe"
</pre>
 
이때 다중 서명을 한다면 또다시 오류가 발생할 것입니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
c:\temp&gt; signtool sign /as /fd sha256 /n JenniferSoft /tr http://timestamp.digicert.com "c:\temp\ConsoleApp1.exe"
SignTool Error: No file timestamp algorithm specified. Please specify the timestamp algorithm with the /td flag. Using /td SHA256 is recommended and more secure than SHA1. Calling signtool with /td sha1 is equivalent to the previous behavior.
In order to select the hash algorithm used in the signing certificate's signature, use the /td certHash option.
</pre>
 
이번에도 역시 오류 메시지에 답이 있는데요, 이번에는 /td 옵션을 추가하면 됩니다. ^^ 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
signtool sign /as /fd sha256 /n JenniferSoft /td sha256 /tr http://timestamp.digicert.com "c:\temp\ConsoleApp1.exe"
</pre>
 
그나저나, 위와 같이 /fd를 명시하는 signtool.exe의 버전을 보면 10.0.22621.1778입니다. 그 이전의 10.0.19041.685 버전은 저 옵션 없이도 잘 실행이 되는군요. ^^

<hr />[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

</div>

첨부파일

스팸 방지용 인증 번호

1111 (왼쪽의 숫자를 입력해야 합니다.)