Я пытаюсь выяснить, как лучше настроить подпись Authenticode на моем рабочем месте. Последствия для безопасности меня напрягают.
Сначала я подумал, что лицо, управляющее ключом, должно установить его на сервер сборки и защитить его, чтобы к нему мог получить доступ только учетная запись сборки.
Это кажется достаточно безопасным, но на самом деле это не так. Да, вы не можете украсть сертификат на этом этапе, но если вы можете создать сборку, вы можете получить учетную запись сборки для подписи любого двоичного файла.
Кто-нибудь, кто знаком с процессом, дает мне несколько советов?