Questions et réponses

Oui. ssign parle lui-même au cloud SimplySign en HTTPS : il se connecte, récupère votre certificat et demande la signature au cloud, sans SimplySign Desktop, sans interface graphique, sans conteneur et sans pile PKCS#11. Il fonctionne sous Linux, macOS et Windows. Voir la prise en main.

Non. La signature Authenticode, ce ne sont que des données : ssign hache le fichier, obtient la signature RSA du cloud et construit lui-même la signature PKCS#7, sans aucune API Windows. La version Windows de ssign est d'ailleurs signée ainsi, depuis une machine Linux.

Oui. Donnez à ssign CERTUM_EMAIL et la graine TOTP dans CERTUM_OTP : il calcule le code à usage unique à chaque exécution. Gardez la graine dans un environnement protégé qui demande votre accord : voir GitHub Actions.

La commande ssign signe les fichiers PE : .exe, .dll, .sys, .ocx, .cpl. Pour les MSI, CAB, catalogues, APPX et scripts PowerShell, utilisez le module PKCS#11 avec osslsigncode. La signature MSI native dans la commande elle-même est encore en cours.

C'est le secret en base32 derrière l'appli d'authentification que vous avez configurée avec le QR code SimplySign. Elle est à longue durée : avec elle et votre e-mail, n'importe qui peut signer en votre nom jusqu'à ce que vous régénériez le QR code. Elle ne sert qu'à l'automatisation (--otp). Sur votre propre machine, passez plutôt le code du moment avec --token : la graine ne quitte alors jamais votre appli. Voir Sécurité.

Certum n'a pas accepté l'e-mail et le code. Vérifiez l'e-mail, et que le code est bien en cours de validité : un code vaut environ 30 secondes et Certum ne l'accepte qu'une fois. Avec --otp, ssign calcule le code à partir de l'horloge du système : elle doit donc être à l'heure.

Non. Une seule connexion signe tous les fichiers passés sur la ligne de commande. La session est aussi gardée en cache 20 minutes : les exécutions suivantes, et le module PKCS#11, la réutilisent sans nouveau code. Voir le cache de session.

ssign ne remplace pas une signature Authenticode existante : il s'arrête sur un fichier PE déjà signé. Signez le fichier tel qu'il sort de la compilation.

Non. Vérifiez le résultat avec osslsigncode verify, ou avec signtool sous Windows. La chaîne de publication de ssign contrôle elle-même chaque fichier signé avec osslsigncode verify.

Non. ssign signe uniquement avec un certificat cloud Certum SimplySign.

Il n'a besoin d'aucun logiciel SimplySign, mais il vérifie les certificats HTTPS via le magasin de certificats du système. L'image doit donc contenir les certificats des autorités : un conteneur scratch nu n'en a aucun.

C'est un problème de SimplySign Desktop, relevé pendant l'étude du protocole : la version 2.9.10 reçoit une erreur HTTP 415 en boucle quand elle liste les cartes, la carte n'est donc jamais insérée et la page de connexion tourne en boucle ; la version 2.9.14 parle l'API actuelle. ssign n'utilise pas du tout SimplySign Desktop. Détails dans les notes sur le protocole (en anglais).

Non. C'est un client libre et indépendant pour le cloud SimplySign, sans lien avec Certum / Asseco ni approuvé par eux.

Sur Discord ou dans les tickets GitHub.