Репутация своей EXE с самописным сертификатом. Как заработать рейтинг?

Question

[Zavod96]

Увлекся написанием программ (попутно изучая все свои пробелы в IT).
Сам на семерке. Позавчера начал делать игры - прыгалку в стиле 8 бит)

Столкнулся с ожидаемой проблемой.
Кидаю знакомым EXE для теста. SmartScreen на десятке реагирует так:



Вчера узнал, что стоит подписывать. Нашел инфо. Скачал SDK. Подписал своим.

C ним полный блок



Позже перепробовал разные варианты, и заполнение title, и ша1 и ша256, и через Инно паковал в установщик, с сертификатом и установкой его до до установки игрушки.

Как я понял, Windows определяет "скачанный ли файл" и отслеживает какую-то зону происхождения через зону безопасности, есть некий "прикреплённый" мета-файл (ещё не изучил)

На 8 у меня нет знакомых. SmartScreen на 10-11 видит видимо так:

"Файл из интернета, мало скачиваний, нет репутации → заблокировать или показать страшилку."

ВОПРОС, кто-то пробовал бесплатным способом заработать репутацию? А то вымогательство платных сертификатов меня напрягает)

Раздача файла через облака, свои сайты или еще как?
Сработало ли, и как долго пришлось ждать?

Или я ещё что-то не знаю?

Понятно, со знакомыми решить все эти вопросы легко. Остальные могут быть не только пугливыми, но и ленивыми. Ой. надо какой-то сертификат установить, надо то это, почитать РедМИ и тп.

Comments

[Ziptar]

сертификат установить

Если софт попросит меня установить сертификат, без очевидно понятной цели - я буду на 146% уверен, что это малварь (но какая-то очень наивная и застенчивая).

А так
https://habr.com/ru/articles/505194/
Хотя 5 лет прошло, может чего и поменялось

[tut_nick]

Так чисто, для информации. У меня есть iso файл, с постоянной ссылкой. Который скачан уже сотни раз точно (отправляю ссылку юзерам), и smart screen все равно на него ругается. Хотя внутри все ок.

Answer 1

[Drno]

нажать подробнее, нажать всё равно выполнить
всё, проблема решена

это стандартная практика для любых неподписанных программ

Comments

[Zavod96]

кстати, еще msi не пробовал делать. говорят, на них меньше ругани)

но, всеж хочется найти таких же задротоэксперементаторов, как я.
вдруг у кого-то вышло задобрить смарты самописанными, если это вообще реально

[Ziptar]

Zavod96,

задобрить смарты самописанными, если это вообще реально

Даже если такой баг имеется, то в этом нет смысла. Заставлять пользователя перед установкой своего софта ставить свой сертификат - это в любом случае маразм

[Zavod96]

Ziptar, еще раз, есть версия, что самописные после какого-то срока и определенного поведения в инете запишутся в неких майкрософт базах и смарт перестанет вообще реагировать.
сертификаты не придется юзерам ставить, при условии что связи их пк с майкросфтом телеметрией или чем там ещё
(несамописные и вообще без сертификата - это все понятно, просто предупреждение. постестил еще у одного чела)

[Ziptar]

Zavod96, нет, это чушь полная. Вернее как, даже если запишутся по причине какого бы то ни было бага в логике смартскрина (на что я бы не рассчитывал), то на отношения доверия это не повлияет никак, и левый сертификат, к которому нет доверия, которое строится от корневых ца в хранилище ос, однозначно говорит о попытке подделки по. Смартскрин всё равно сначала будет смотреть на валидность сертификата, и только потом на доверие мелкомягких к издателю по, указанному в сертификате.

[Zavod96]

Ziptar, по логике Microsoft получается, что любой программист и производитель по умолчанию считается мошенником?

Почему я должен отдать свою программу кому-то и ещё заплатить за то, что он сделает то же самое, что могу сделать я сам — просто потому, что он юрлицо с сертификатом?
Он ведь такой же человек, просто "с бумажкой". Но его сертификат внезапно считается "белым", а мой — нет?

Они получают эту «репутацию» просто потому, что купили сертификат?
Тогда логика системы ломается — они ж тоже могут распространять что-то подозрительное))

Почему, если я не подписал программу, она считается потенциально вредной, а если подписал — то уже, якобы, безопасной?

Подпись тоже не гарантирует чистоту кода. Вот это и есть маразм, а скорее просто навязывание услуг и выкачивание денег. Засудил бы их, живя в США) За что их фильтр вообще не пускает от восьмерки.

И да, я нашёл похожие темы на форумах Microsoft Learn. Там пишут:
"К сожалению, Microsoft не публикует руководящие принципы о том, сколько загрузок достаточно, чтобы устранить предупреждения SmartScreen.

Вроде логично. Их возможный ответ: тогда мошенникам будет проще понять, как обходить нас..

Крч, нужно что-то иное. Возможно, можно им файлы отправлять бесплатно, но в текущих реалиях - это врядли

Я, конечно, недавно научился связываться с железом без Микрофозов. Но, увидеть свою надпись и сделать свою ОС - это, конечно, глобальная разница)

[Ziptar]

Zavod96,
Покупка сертификата - это подтверждение того, что издателем по являешься ты, а не кто-то ещё. Сам по себе сертификат защищает от подделки издателя, и не более того. Точно так же, как с сайтами. А уж "репутация" - это всё после. Сначала убеждаемся, что этот кусок запускаемого кода выпущен Васей Пупкиным, а не Федей Петровым, а уж потом наблюдаем за тем, что это за Вася Пупкин такой подозрительный тут кодит что-то.

[Zavod96]

Ziptar, нашел, есть некая Microsoft Security Intelligence.

Да в любом случае должен быть свой сайт / стр., ник/имя разраба. Пусть сначала для друзей знакомых)
Если некий файл наберет некий рейтинг, скачки и тп, попробовать подписать самому.

Либо все варианты делать. Исключительно для теста и опыта

[none7]

Zavod96, именно, каждая программа от неизвестного издателя по умолчанию считаетая вирусом. Мы живём в мире нулевого доверия. Хакеры и вирмейкеры в своё время оказались слишком счастливыми, злоупотребляя доверием по умолчанию и поэтому теперь так.

Answer 2

[VoidVolker]

Либо не подписывать самописным сертификатом, либо купить - если так уж хочется цифровую подпись.

Comments

[Zavod96]

да, я понял, что неподписанные можно нажать выполнить, значит, лучше такие и отдавать)

Answer 3

[Hemul GM]

Сертификат должен быть часть доверенного сертификата. Корневого. Свой сертификат не имеет доверенного корневого и сам не является доверенным, пока не добавишь этот сертификат на целевую систему.

Это значит, что ты либо платишь за доверенный сертификат, либо не подписываешь вообще, т.к. нет смысла.

Чтоб не было такого сообщения, без подписи, нужно, чтоб программа находилась в папках Program Files.

Никакого рейтинга нет

Comments

[Zavod96]

хорошо, я попробую сделать установщик без сертификата. тк такой шаг я делал уже с сертификатом.
будет интересно, возникнет какое-то предупреждение или нет

отпишусь ещё.