윈도우용 어플리케이션 배포

 

윈도우용 어플리케이션을 웹에 배포하려면 전자서명(code sign)이 필요합니다.

전자서명을 하지 않으면 브라우저로부터 다운로드 받을 때 Windows SmartScreen filter(Window8부터 OS에 내장)등 보안프로그램들로부터 안전하지 않은 프로그램 취급을 받게 됩니다.

이러한 전자서명을 위해 Code Signing Certificate (코드 서명 인증서) 가 필요합니다.

 

이 인증서는 symantec 이나 comodo 같은 인증서 발급업체 혹은 대행 업체로부터 구입을 해야 합니다.

인증서 발급업체는 외국업체들이라 한국어를 지원하지 않기 때문에 흔히 대행 업체(한국전자인증 등)를 통해서 신청하고 발급받게 됩니다.

 

코드 서명 인증서의 종류도 크게 표준인증서와 EV인증서 두 종류가 있는데 2017년 기준 표준 인증서는 30~40만원 정도이며 EV인증서는 140~160 만원 정도입니다.

XP 같은 보안패치가 이루어지지 않은 구 운영체제는 SHA2를 지원하지 않기 때문에 SHA1 알고리즘으로된 인증서를 구입해야하며 VISTA 이후는 SHA2 알고리즘으로된 인증서를 구입해야 합니다.

다만 EV인증서는 SHA1을 지원하지 않습니다.

 

표준인증서로 코드 서명을 하더라도 일정 다운로드 횟수동안 신고 건수가 없어야 SmartScreen filter 의 white list DB에 등록되기 전까지는 안전하지 않은 프로그램 취급을 받습니다.

때문에 일정 시간이 흐르기 전까지는 안전하지 않은 프로그램 취급을 받을 수 밖에 없습니다.

이 시간도 짧게는 수일에서 길게는 수개월 이상 걸릴 수 있습니다.

 

그런데 EV인증서는 이 SmartScreen filter white list DB에 등록작업을 마친 인증서 상태로 발급받기 때문에 가격이 비싼 것입니다.

다만 EV 인증서는 국세청 법인 사업자 등록증 기준 2년 이상 업력을 가진 업체는 약 2주 가량의 발급 기간이 소요되며 신규법인의 경우 절차가 더 까다로와서 더 오래걸립니다.

 

인증서를 신청 후 발급 받으면 보통 확장자가 pfx 나 cer 파일로 받게 되는데 이 pfx 파일을 명령프롬프트로 signtool.exe 을 이용하여 전자서명을 하게 됩니다. 이 signtool.exe 는 Microsoft SDK 를 설치할 때 같이 설치됩니다.

(SDK 경로 예) C:\Program Files (x86)\Windows Kits\10\bin\10.0.16299.0\x64

설치된 SDK 경로를 환경변수에 등록하면 명령프롬프트에서 경로 이동 없이 바로 사용가능합니다.

 

signtool.exe 의 사용법은 명령프롬프트에서 signtool /? 를 입력하면 볼 수 있습니다.

옵션 예) /f 인증서경로 /p 패스워드 /fd 알고리즘 /t 타임스탬프

코드 사인 예)

signtool sign /f d:/codesign/cert_sha1.pfx /p 1234 /fd sha1 /t http://timestamp.verisign.com/scripts/timstamp.dll setup.exe

 

 

 

참고 URL

https://blogs.msdn.microsoft.com/ie/2012/08/14/microsoft-smartscreen-extended-validation-ev-code-signing-certificates/

Microsoft SmartScreen & Extended Validation (EV) Code Signing Certificates