一年前我使用Azure可信签名对为Windows分发的开源软件进行代码签名。这是在该平台上分发免费软件最便宜的方式。几个月前我需要更新证书，因为它过期了，我遇到了和作者在这里遇到的同样的问题——验证失败，他们拒绝接受我提供的任何文件。非常令人沮丧的经历，尤其是因为对于一个我愿意付费和使用的產品，完全没有人工支持！我们最终从https://signpath.org获取了证书源，从那以后一直对它们心存感激。
源讨论微软突然终止VeraCrypt账户，停止Windows更新原帖 247 条评论 · 导入时统计把你的经验，加入这段讨论。
据我所知，可信签名验证在过去12个月里一直在变化。它最初对个人开放，然后关闭了，只允许（我记得是）有DUNS编号的美国公司，之后又重新对美国个人（可能还有其他一些国家）开放。 我完全不专业的猜测是，有人用可信签名颁发的代码签名证书做了些不好的事情。 不管怎样，今天早上我第一次看到VeraCrypt的事情时，我的第一反应是“不知道这是否是他们强迫开发者通过可信签名的硬性方式？”
完整原文我喜欢为开源软件设立一个中心签名机构的想法。虽然这可能违背了开源的精神，但我觉得这最终会形成一个关键的共识，如果微软或谷歌对它们耍花招的话，会引起广泛关注和抗议。此外，基金会可能是一个很好的方式，以保护在不同法规下分发开源软件的法律麻烦。我想象着例如一个FDroid，它会玩谷歌的游戏。通过可重复构建或至少经过审计的构建，一些受信任的机构实际上可以在供应链攻击频繁的时候生产出更可信的构建。然而，我认为这样的分发机构需要非常良好的治理和大量资金。
完整原文任何人竟然要付钱给微软或他们的走狗，只为在他们的平台上提供免费软件，这太荒谬了。代码签名是一种骗局。
完整原文尊重不同观点，分享具体经验。
登录后即可发帖、评论、转发和引用。