Warum wird nach der Signierung eines Programms mit einem SSL-Code-Signing-Zertifikat immer noch „Unsicher“ angezeigt?

Hintergrund des Problems

Früher konnte ein EV-Code-Signing-Zertifikat die Sicherheitswarnung von Microsoft SmartScreen direkt beseitigen. Microsoft hat die entsprechenden Mechanismen inzwischen jedoch angepasst, sodass selbst mit einem EV-Code-Signing-Zertifikat signierte Programme weiterhin Warnhinweise von Microsoft Defender SmartScreen auslösen können.

Microsofts Reputationsbewertungsmechanismus

Microsoft hat ein neues Update bereitgestellt. Die Reputationsbewertung von SmartScreen basiert nun nicht mehr allein auf dem Zertifikatstyp, sondern auf umfassenden Reputationsindikatoren wie Softwarenutzung und Downloadzahlen:

• Neu signierte Programme: Unabhängig davon, ob ein EV- oder ein OV-Code-Signing-Zertifikat verwendet wird, kann beim ersten Release eine SmartScreen-Warnung ausgelöst werden.
• Prozess des Reputationsaufbaus: Das Programm muss genügend Downloads und Nutzervertrauen ansammeln, bevor die SmartScreen-Warnung allmählich verschwindet.
• Unterschied zwischen EV und OV: Im Vertrauensalgorithmus von Microsoft hat die EV-Codesignatur ein höheres Gewicht als die OV-Codesignatur. Daher sind die für eine EV-Codesignatur erforderlichen Downloadzahlen deutlich geringer als bei einer OV-Codesignatur.

Es ist darauf hinzuweisen, dass dieses Phänomen vollständig von Microsoft gesteuert wird und kein Problem des Zertifikats selbst darstellt. Das EV-Zertifikat bietet zwar weiterhin die höchste Stufe an Validierung und Sicherheit, kann aber nicht mehr wie früher garantieren, dass die SmartScreen-Warnung automatisch beseitigt wird.

Referenzen

Siehe die offizielle Microsoft-Dokumentation: Mechanismus der SmartScreen-Reputationsbewertung