確定文件是否具有c＃中的數字簽名而未真正驗證簽名

Question

是否有一種簡單的方法檢查文件上是否存在數字簽名而不嘗試驗證其簽名的證書？

我想在一個目錄中籤名很長的exe文件列表& dll文件，但只有尚未簽名的文件。

例如，如果其中一個文件已經由Microsoft或其他第三方簽名，我不想用我公司的證書再簽名。

通過右鍵單擊文件並查看其屬性（如果數字簽名標籤出現，然後簽名），可以輕鬆檢查文件是否具有數字簽名。我正在尋找一種簡單的方法來檢查使用C＃的這個數字簽名屬性。

現在，我正在使用帶有signtool.exe的verify命令 - 它不僅檢查是否存在數字簽名，而且還檢查用於簽署該文件的證書是否由可信授權機構頒發。

這裏是我的簡單，這樣做又笨拙的方法：

private static Boolean alreadySigned(string file) 
     { 
      ProcessStartInfo startInfo = new ProcessStartInfo(); 
      startInfo.RedirectStandardOutput = true; 
      startInfo.RedirectStandardError = true; 
      startInfo.FileName = "signTool.exe"; 
      startInfo.Arguments = "verify /v " + file; 
      startInfo.UseShellExecute = false; 

      Process process = new Process(); 
      process.StartInfo = startInfo; 
      process.EnableRaisingEvents = true; 
      process.Start(); 
      process.WaitForExit(); 
      string output = process.StandardOutput.ReadToEnd(); 

      return output.Contains("Signing Certificate Chain:"); 
     } 

請注意，我使用冗餘標誌「/ v」和檢查，如果輸出包含文本「簽名證書鏈」 - 僅僅是因爲我注意到那個字符串總是在已經簽名的文件的輸出中 - 並且從沒有簽名的文件中被省略。

無論如何，儘管它的笨拙，這段代碼似乎完成了工作。我想改變它的一個原因是因爲它似乎需要幾百毫秒才能在文件上執行verify命令。我不需要驗證證書，我只是試圖查看文件上是否存在數字簽名。

簡而言之，是否有一種簡單的方法來檢查數字簽名是否存在 - 而不是試圖驗證它？

Answer 1

我想出了一個相當不錯的解決方案，使用「Get-AuthenticodeSignature」powershell命令。我發現this site解釋瞭如何在c＃中使用powershell命令。這樣我就不需要產生幾個進程，而且非常快。

using System.Collections.ObjectModel; 
using System.Management.Automation; 
using System.Management.Automation.Runspaces; 


private static Boolean alreadySigned(string file) 
{    
      try 
      { 
       RunspaceConfiguration runspaceConfiguration = RunspaceConfiguration.Create(); 
       Runspace runspace = RunspaceFactory.CreateRunspace(runspaceConfiguration); 
       runspace.Open(); 

       Pipeline pipeline = runspace.CreatePipeline(); 
       pipeline.Commands.AddScript("Get-AuthenticodeSignature \"" + file + "\""); 

       Collection<PSObject> results = pipeline.Invoke(); 
       runspace.Close(); 
       Signature signature = results[0].BaseObject as Signature; 
       return signature == null ? false : (signature.Status != SignatureStatus.NotSigned); 
      } 
      catch (Exception e) 
      { 
       throw new Exception("Error when trying to check if file is signed:" + file + " --> " + e.Message); 
      } 
} 

Answer 2

首先，signtool只適用於PE文件。對於其他文件類型，可以使用包裝簽名或嵌入簽名或分離簽名來完成簽名。

包裝簽名會更改實際文件，使其通常用於讀取的應用程序無法讀取。例如。如果您在PDF上創建包裝簽名，則在簽名被移除之前，任何PDF工具都無法讀取該文件。

某些文件格式支持格式正確的嵌入式簽名（以EXE文件和Authenticode格式爲例）。您可以在其中嵌入簽名，其他應用程序仍然可以讀取它。但這是特定於格式的，並不是很多格式都支持這種格式。

最後分離的簽名與文件分開保存。即如果您有文件a.txt，則創建一個分離簽名並將其放入，例如a.txt.pkcs7detached。

如您所見，分離的簽名對於您的任務是最佳的。在這種情況下，您有一個.pkcs7detached文件的列表，以便您可以檢查 - 如果該文件沒有對應的帶有簽名的.pkcs7detached文件，則會創建一個新簽名。

以上所有簽名類型均由我們的SecureBlackbox產品的PKIBlackbox包支持。

Answer 3

如果你想爲.NET程序集做到這一點，你可以這樣做：

 string filePath = "C:/path/to/file.dll"; 
     Assembly assembly = Assembly.LoadFrom(filePath); 
     Module module = assembly.GetModules().First(); 
     X509Certificate certificate = module.GetSignerCertificate(); 
     if (certificate == null) 
     { 
      // file is not signed. 
     } 

的X509Certificate類有一些靜態方法，也可以使用（例如CreateFromSignedFile），但我不爲熟悉它們。這是我們用來仔細檢查數字簽名是否已被我們的內部工具應用的方法。