给ActiveX控件加上数字签名的步骤

制作完OCX控件之后，就要给控件加上数字签名，否则当用户下载安装时，系统会直接禁止该控件的安装，除非事先对IE设置降低了安全级别。
　　简单地说,所谓数字签名就是附加在数据单元上的一些数据,或是对数据单元所作的密码变换。这种数据或变换允许数据单元的接收者用以确认数据单元的来源和数据单元的完整性并保护数据,防止被人(例如接收者)进行伪造。它是对电子形式的消息进行签名的一种方法,一个签名消息能在一个通信 网络中传输。基于公钥密码体制和私钥密码体制都可以获得数字签名,目前主要是基于公钥密码体制的数字签名。包括普通数字签名和特殊数字签名。普通数字签名算法有RSA、ElGamal、Fiat-Shamir、Guillou- Quisquarter、Schnorr、Ong-Schnorr-Shamir数字签名算法、Des/DSA,椭圆曲线数字签名算法和有限自动机数字签名算法等。特殊数字签名有盲签名、代理签名、群签名、不可否认签名、公平盲签名、门限签名、具有消息恢复功能的签名等,它与具体应用环境密切相关。显然,数字签名的应用涉及到法律问题,美国联邦政府基于有限域上的离散对数问题制定了自己的数字签名标准(DSS)。一些国家如法国和德国已经制定了数字签名法。数字签名（Digital Signature）技术 数字签名技术是不对称加密算法的典型应用。数字签名的应用过程是，数据源发送方使用自己的私钥对数据校验和或其他与数据内容有关的变量进行加密处理，完成对数据的合法“签名”，数据接收方则利用对方的公钥来解读收到的“数字签名”，并将解读结果用于对数据完整性的检验，以确认签名的合法性。数字签名技术是在网络系统虚拟环境中确认身份的重要技术，完全可以代替现实过程中的“亲笔签字”，在技术和法律上有保证。在公钥与私钥管理方面，数字签名应用与加密邮件PGP技术正好相反。在数字签名应用中，发送者的公钥可以很方便地得到，但他的私钥则需要严格保密。

　　数字签名：数字签名验证发送方的标识并保护数据的完整性。事实上数字签名不是一种具体的技术实现，它是基于以上各种加密技术组合的解决方案。通常一个基本的数字签名方案可能有如下步骤：

1. 双方各自生成一个公钥/私钥对。
2. 双方交换他们的公钥。
3. 双方生成一个用于对称加密法的私钥，并使用该对称私钥加密要发送的消息。
4. 生成加密后消息的哈希值。
5. 用对方的共钥加密对称私钥和哈希值（该组合密文即为签名），并将该签名附加在消息主体的密文后发送给对方。

首先要有工具包，包括以下几个软件：
makecert.exe 制作cer格式的证书，即X.509证书，同时可以创建私钥
cert2spc.exe 将cer格式证书转换成spc格式证书，即PKCS #7证书
signcode.exe 将证书签署到ocx上去
chktrust.exe 检查签署证书后的ocx是否正确
还有一个certmgr.exe，是管理证书用的。
下面是具体的步骤：
1、创建一个自己的证书文件：
makecert /sv "Record.PVK" /n "CN=公司名称,E=email,O=作者" dream.cer
这里，Record.PVK表示新创建的私人密钥保存文件名
DreamCaptial是你想显示的公司名
dream.cer是你创建最后的证书文件名
这些根据你自己的要求填写，最后得到Record.PVK和dream.cer两个文件。
其中，运行过程中需要输入私人密钥的保护密码，一定要输入一致，不要
出错。
2、转换cer格式为spc格式（可以省略）
cert2spc dream.cer dream.spc
得到dream.spc文件。
3、给ocx进行签名
运行signcode，命令行的我没有试验通过，我是通过界面实现的。
signcode运行后会出现数字签名向导，首先选择你要签名的ocx，
下一步后会出现签名选项，一种是典型，一种是自定义。选择自定义，
这样才能从文件选择证书，选择前面制作的dream.spc，再下一步是
选择私钥文件，选择Record.PVK，输入私人密钥的保护密码，选择散
列算法，一般用md5就可以了，下一步是选择其他证书，直接下一步，
填写一下这个控件的声明，用户用ie浏览的时候，会弹出证书说明，
再下一步是加盖时间戳，我不会，直接下一步就完成了。
4、用chktrust检查是否正确
chktrust -v RecordProj.ocx

就这样，得到了一个测试证书，恩，虽然只是一个测试证书，但至
少保证这个ocx在ie浏览的时候能够弹出来一个窗口，问你是否安装，
而不是直接禁止了。

 

数字签名的问题

在ActiveX控件加上数字签名的时候，如果使用makecert 不使用is参数，生成的证书是由Root gency颁发的，安装后Root
Agency是中级证书颁发机构，因此该证书是不受信任的。

ActiveX在第一次加载时，因为证书的根是不可信任的，所以只能显示未知的发行商，此时就需要先安装证书，把证书安装成受信任的根证书颁发机构，就可以看到发行商的信息了。

makecert最好用is参数生成自根证书，然后再由这个自根证书生成子证书,然后证书安装的时候，会自动加入受信任的根证书颁发机构中。

windows自带了VeriSign，CA之类的根证书，如果是国内的证书机构，也是要安装根证书，否则跟自已制作的证书没两样。