Instrukcja aktywacji i instalacji Code Signing
S t r o n a 2 Spis treści 1 Opis produktu... 3 2 Instalacja certyfikatu... 3 2.1 Wymagania... 3 2.2 Aktywacja certyfikatu... 3 3 Wgrywanie certyfikatu na kartę... 11 4 Konfiguracja oprogramowania... 16 5 Signtool... 17 5.1 Opis narzędzia... 17 5.2 Podpisywanie... 17 5.2 Weryfikacja... 18 6 Jarsigner... 19 6.1 Opis narzędzia... 19 6.2 Konfiguracja... 19 6.3 Podpisywanie... 20 6.4 Weryfikacja... 20 infolinia@
S t r o n a 3 1 Opis produktu Certyfikat Code Signing, służy do podpisywania kodu oraz gotowych już zbudowanych aplikacji. Certyfikat nagrywany jest na kartę kryptograficzną, co pozwala nam podpisywać kod oraz gotowe aplikacje używając znanych narzędzi takich jak signtool.exe oraz jarsigner. Instrukcja opisuje ścieżkę aktywacji oraz instalacji certyfikatu oraz jak zainstalować potrzebne oprogramowanie i w jaki sposób - za pomocą znanych aplikacji podpisać lub zweryfikować podpisany już kod lub aplikację. 2 Instalacja certyfikatu 2.1 Wymagania Do instalacji certyfikatu będzie potrzebna nam aplikacja pro CardManager (Opis instalacji i konfiguracji znajduje się poniżej), przeglądarka Internet Explorer w wersji 8,9,10 lub 11 oraz czytnik z kartą kryptograficzną na której zainicjowany jest profil zwykły, podpięty do komputera. 2.2 Aktywacja certyfikatu 1. Po otrzymaniu zdrapki wchodzimy na adres internetowy sklepu : https://sklep./ 2. Klikamy przycisk Zaloguj/Zarejestruj się 1. Logujemy się na konto (jeżeli nie posiadamy konta w sklepie to wymagane jest jego założenie) infolinia@
S t r o n a 4 4. Klikamy w przycisk "Twoje konto" 5. W przypadku otrzymania kodu aktywacyjnego, przechodzimy do sekcji "Kody elektroniczne" i aktywujemy kod. 6. Jeżeli nie posiadasz kodu lub pomyślnie aktywowałeś wcześniej kod, przechodzimy do zakładki "Aktywacja Certyfikatów" infolinia@
S t r o n a 5 7. Na liście poniżej należy odszukać odpowiedni certyfikat który chcemy aktywować i klikamy przycisk "Aktywuj" 8. Zaznaczamy opcję "Generowanie pary kluczy" i klikamy "Dalej" 9. 1. W przypadku korzystania z przeglądarki Internet Explorer. Potwierdzamy dostęp do sieci Web klikając przycisk "Tak" infolinia@
S t r o n a 6 9.2. W przypadku korzystania z przeglądarki Chrome. Pobieramy aplikację Cryptoagent i zostawiamy ją uruchomioną przez cały okres instalacji kluczy na karcie. Klikamy w aplikację CryptoAgent w celu jej uruchomienia. infolinia@
S t r o n a 7 Zostawiamy uruchomiona aplikacje CryptoAgent przez cały okres instalacji kluczy na karcie. Zamknięcie okna spowoduje zatrzymanie procesu wgrywania kluczy na karcie. 10. Zaznaczamy opcję "Zapisz klucze na karcie " klikamy przycisk "Generuj klucze". Przy wyświetleniu monitu o numer PIN, podajemy pin do karty i klikamy "OK". infolinia@
S t r o n a 8 11. Po przejściu do kolejnego ekranu z informacją o pomyślnym wygenerowaniu kluczy na karcie klikamy przycisk "Dalej" 12. Uzupełniamy formularz wniosku certyfikacyjnego danymi, które zamieszczone zostaną w certyfikacie. Następnie, klikamy "Dalej" infolinia@
S t r o n a 9 13. Jeszcze raz upewniamy się czy dane są poprawne. Zaznaczamy, że akceptujemy Warunki Użytkowania oraz potwierdzamy prawdziwość podanych w formularzu informacji i klikamy "Aktywuj". infolinia@
S t r o n a 10 14. Status naszego zgłoszenia powinien zmienić się na "Oczekuje na realizację". Na adres email podany w formularzu wniosku certyfikacyjnego przyjdzie wiadomość z dalszymi instrukcjami. Lista wymaganych dokumentów niezbędnych do weryfikacji tożsamości znajduje się na stronie : http://www./certum/cert,wiedza_certyfikaty_code_signing_formalnosci.xml 15. Po otrzymaniu przez wymaganych dokumentów i zaakceptowaniu żądania certyfikacyjnego wysłana zostanie na adres email wiadomość o wydaniu certyfikatu Code Signing. infolinia@
S t r o n a 11 3 Wgrywanie certyfikatu na kartę Po przejściu całego procesu aktywacji, należy wgrać certyfikat na karcie na której były uprzednio generowane klucze(punkty 10-12) w tym celu należy: 1. W sklepie, przejść do zakładki "Zarządzanie certyfikatami" 2. Odszukać odpowiedni certyfikat, do którego generowana była para kluczy i kliknąć w niego 3. Kliknąć przycisk "Zapisz binarnie" 4. Pobrać plik certyfikatu na dysk komputera infolinia@
S t r o n a 12 5. Otworzyć pro CardManager 6. Wybrać odpowiedni czytnik(jeżeli podłączony więcej niż jeden) i kliknąć przycisk "Czytaj kartę" 7. Przejść do zakładki "Profil Zwykły" 8. W przypadku pojawiania się powiadomienie o niecertyfikowanych kluczach na karcie należy wcisnąć przycisk "Nie" infolinia@
S t r o n a 13 9. Kliknąć przycisk "Importuj certyfikat" 10. Wybrać pobrany uprzednio plik certyfikatu, podać pin do karty i kliknąć "OK" infolinia@
S t r o n a 14 11. Jeżeli proces dodawania certyfikatu zakończył się pomyślnie, na liście powinien ukazać się certyfikat Code Signing. 12. Należy zarejestrować wybrany certyfikat w systemie operacyjnym. W tym celu wybieramy przycisk Rejestruj certyfikaty 2. infolinia@
S t r o n a 15 4. Instalacja oprogramowania Do poprawnego działania Code Signing potrzebna jest aplikacja pro CardManager w wersji 3.2.0.151 lub wyższej. Aby poprawnie zainstalować aplikację trzeba wykonać następujące kroki: 1. Pobrać najnowszą wersję oprogramowania z oficjalnej strony. 2. Uruchomić pobrany instalator. 3. Po uruchomieniu instalatora kliknąć przycisk. 4. Po pojawieniu kolejnego ekranu zaznaczyć Akceptuje warunki umowy licencyjnej. i kliknąć. 5. Po pojawieniu się kolejnego ekranu należy wybrać ścieżkę w której ma być zainstalowana aplikacja i kliknąć. 6. Po pojawieniu się kolejnego ekranu należy kliknąć przycisk. 7. Po zakończeniu pracy instalatora należy ponownie uruchomić komputer. W tym celu należy zaznaczyć i kliknąć przycisk. infolinia@
S t r o n a 16 4 Konfiguracja oprogramowania 1. Uruchamiamy aplikację pro CardManager w wersji 3.2.0.151 lub wyższej. Powinno pojawić się okno z nazwą czytnika jak na grafice poniżej: 2. Klikamy przycisk. 3. Po pojawieniu się okna z opcjami zaznaczamy opcję: 4. Restartujemy system. Po restarcie systemu wkładamy czytnik z kartą kryptograficzną na której nagrany jest certyfikat oraz klucze. 5. Aby sprawdzić czy certyfikat znajduje się na karcie włączamy aplikację pro CardManager, z listy wybieramy odpowiedni czytnik (jeżeli jest podłączony więcej niż jeden) i klikamy przycisk. 6. Jeżeli karta została odczytana pomyślnie powinno pojawić się okno jak na grafice poniżej: Przechodzimy do zakładki. Na liście powinien pojawić się certyfikat: Pole Właściciel certyfikatu będzie później potrzebne przy podpisywaniu kodu lub aplikacji. infolinia@
S t r o n a 17 5 Signtool 5.1 Opis narzędzia Signtool to narzędzie wiersza polecenia, które cyfrowo podpisuje pliki, weryfikuje podpisy w plikach i oznacza pliki znacznikami czasu. Narzędzie to znaleźć można w paczce deweloperskiej Windows (Windows SDK[Software Development Kit]). Wszystkie operacje wykonywane z Code Signing wymagają podłączonego czytnika wraz z kartą na której jest certyfikat Code Signing. Szerszy opis narzędzia można znaleźć pod adresem: https://msdn.microsoft.com/plpl/library/8s9b9yaz(v=vs.110).aspx 5.2 Podpisywanie Aby podpisać plik, w wierszu poleceń(cmd.exe) należy użyć następującego polecenia: signtool sign /n "[1] " / t [2] /fd [3] /v [4] [1] Nazwa właściciela certyfikatu, którą sprawdzić można w aplikacji pro CardManager lub narzędziu systemowym certmgr.msc [2] Adres znacznika czasu. Dla http://time., [3] Nazwa algorytmu podpisu. Dostępne sha1 i sha256, [4] Ścieżka do pliku podpisywanego. Przykładowe, poprawne polecenie: signtool sign /n "Asseco Data Systems S.A." / t http://time./ /fd sha1 /v file.exe infolinia@
S t r o n a 18 5.2 Weryfikacja Aby zweryfikować plik, w wierszu poleceń(cmd.exe) należy użyć następującego polecenia: signtool verify /pa [1] [1] Nazwa podpisanego pliku Przykładowe, poprawne polecenie: signtool verify /pa file.exe infolinia@
S t r o n a 19 6 Jarsigner 6.1 Opis narzędzia Jarsigner to narzędzie wiersza poleceń, które cyfrowo podpisuje pliki oraz weryfikuje podpisy. Narzędzie to znaleźć można w paczce deweloperskiej Oracle(JDK [Java Development Kit]). Wszystkie operacje wykonywane z Code Signing wymagają podłączonego czytnika wraz z kartą na której jest certyfikat. Szerszy opis narzędzia można znaleźć pod adresem: http://docs.oracle.com/javase/7/docs/technotes/tools/windows/jarsigner.html 6.2 Konfiguracja Przed rozpoczęciem używania jarsigner potrzebna jest dodatkowa konfiguracja. Należy utworzyć plik konfiguracyjny providera dla PKCS#11. W tym celu tworzymy nowy plik o rozszerzeniu *.cfg (przykład: provider.cfg). Jego zawartość wygląda następująco: name=[1] library=[2] slot=[3] [1] Nazwa providera. Najlepiej Crypto3PKCS. [2] Ścieżka do biblioteki PKCS. Jeżeli posiadamy zainstalowanego pro CardManagera ścieżka domyślna to: C:\Windows\System32\crypto3PKCS.dll [3] Numer slota w którym znajduje się karta. Domyślna wartość to -1 która powoduje automatyczne wykrycie pierwszego dostępnego slotu. Przykładowa konfiguracja: name=crypto3csp library=c:\windows\system32\crypto3pkcs.dll slot=-1 infolinia@
S t r o n a 20 6.3 Podpisywanie Aby podpisać plik, w wierszu poleceń(cmd.exe) należy użyć następującego polecenia: jarsigner -keystore NONE -tsa "[1]" -storetype PKCS11 -providerclass sun.security.pkcs11.sunpkcs11 -providerarg "[2] " -storepass "[3]" "[4]" "[5]" [1] Adres znacznika czasu. Dla http://time., [2] Ścieżka do pliku konfiguracyjnego providera(sekcja Konfiguracja ), [3] Hasło do karty, [4] Ścieżka do pliku podpisywanego, [5] Nazwa właściciela certyfikatu który sprawdzić można w pro CardManagerze. Przykładowe, poprawne polecenie: jarsigner -keystore NONE -tsa "http://time." -storetype PKCS11 - providerclass sun.security.pkcs11.sunpkcs11 -providerarg "provider.cfg" - storepass "123456" "[signed]projavaapi.jar" "Asseco Data Systems S.A." 6.4 Weryfikacja Aby zweryfikować plik, w wierszu poleceń(cmd.exe) należy użyć następującego polecenia: jarsigner -verify -verbose -keystore NONE -tsa "[1]" -storetype PKCS11 -providerclass sun.security.pkcs11.sunpkcs11 -providerarg "[2] " -storepass "[3]" "[4]" "[5]" [1] Adres znacznika czasu. Dla http://time., [2] Ścieżka do pliku konfiguracyjnego providera(sekcja Konfiguracja ), [3] Hasło do karty, [4] Ścieżka do pliku podpisywanego, [5] Nazwa właściciela certyfikatu który sprawdzić można w pro CardManagerze. Przykładowe, poprawne polecenie: jarsigner -verify -verbose -keystore NONE -tsa "http://time." -storetype PKCS11 -providerclass sun.security.pkcs11.sunpkcs11 -providerarg "provider.cfg" -storepass "123456" "[signed]projavaapi.jar" "Asseco Data Systems S.A." infolinia@