X509Certificate.CreateFromSignedFileはリーフ証明書のみを取得します

Question

signtool.exeを使用してexeファイルを署名しました。 （ - > [プロパティ] - > [デジタル署名 - >詳細 - > [証明書の表示 - 右クリック>パス）私はWindowsを使用して署名を表示すると予想されるように、チェーンは、次のようになります。

Verisign 
| 
---Symantec Class 3 SHA256 Code Signing CA 
    | 
    ---Me 

しかし、私はロードする場合証明書は、.NET API X509Certificate.CreateFromSignedFile(path)を使用し、X509Certificate2UI.DisplayCertificate(cert)を使用して証明書を見て、私は葉の証明書のみを参照してください。もちろん、チェーンが見つからないため、X509Chainを使用してチェーンを構築しようとすると失敗します。

これは予想された動作であり、管理された.NETコード（WinVerifyTrust p/invokeを使用せずに読み込み）を使用してチェーン全体を構築する方法はありますか？

Answer 1

はい、いいえ。

UIワークフローで、[証明書の表示]を押すと、ファイルプロパティダイアログからCertUIダイアログに切り替わります。 CertUI（たぶん）はリーフ/エンドエンティティ証明書だけを見て、次に証明書チェーン自体を構築します。その時点では、署名されたファイルに他に何があったかについてはやや疑問があります。

ファイルに埋め込まれているすべての証明書情報を読み取ることで、1回の呼び出しでさらに少しずつ取得できます。私のローカルテストでは、EE証明書（署名していなかったため）と中間CA（署名行なし）を作成しましたが、ルート証明書は作成していません（通常、それを信頼しないので、無駄なバイトです）。

var coll = new X509Certificate2Collection(); 
coll.Import("signedfile.exe"); 
// My coll had 2 certs at this point. 

だから、それが中間体を解決する助けを必要とする場合にはX509Chain.ChainPolicy.ExtraStoreにそれらのすべての証明書を渡すことができますが、あなたはまだチェーンを構築するために必要なルートを決定します。

using (X509Certificate2 cert = new X509Certificate2("signedfile.exe")) 
{ 
    X509Chain chain = new X509Chain(); 
    chain.ChainPolicy.VerificationFlags = X509VerificationFlags.IgnoreNotTimeValid; 

    bool validChain = chain.Build(cert); 

    if (!validChain) 
    { 
     // Whatever you want to do about that. 

     foreach (var status in chain.ChainStatus) 
     { 
      // In reality you can == this, since X509Chain.ChainStatus builds 
      // an object per flag, but since it's [Flags] let's play it safe. 
      if ((status.Status & X509ChainStatusFlags.PartialChain) != 0) 
      { 
       // Incomplete chain. 
      } 
     } 
    } 

    X509Certificate2Collection chainCerts = new X509Certificate2Collection(); 

    foreach (var element in chain.ChainElements) 
    { 
     chainCerts.Add(element.Certificate); 
    } 

    // now chainCerts has the whole chain in order. 
}