Microsoft SignTool Kullanım Rehberi: EXE, DLL, MSI İmzalama

SignTool Nedir?

SignTool.exe, Microsoft Windows SDK'nın bir parçası olan komut satırı aracıdır. Authenticode teknolojisini kullanarak EXE, DLL, MSI, CAB, OCX ve diğer Windows dosya formatlarını dijital olarak imzalar.

Kurulum

SignTool, Windows SDK ile birlikte gelir. Visual Studio yüklüyse zaten mevcuttur. Tek başına yüklemek için:

1. Windows SDK'yı Microsoft'un sitesinden indirin
2. Kurulumda "Windows SDK Signing Tools for Desktop Apps" seçeneğini işaretleyin
3. Varsayılan konum: C:\Program Files (x86)\Windows Kits\10\bin\x64\

PFX Dosyası ile İmzalama

signtool sign /fd sha256 /tr http://timestamp.digicert.com /td sha256 /f sertifika.pfx /p "sifre" "dosya.exe"

Parametre Açıklamaları

• /fd sha256: File digest algoritması (SHA-256 önerilir)
• /tr: RFC 3161 timestamp sunucu URL'i
• /td sha256: Timestamp digest algoritması
• /f: Sertifika dosyası (PFX/P12)
• /p: PFX dosya şifresi

USB Token ile İmzalama

EV sertifikalar genellikle USB token üzerinde gelir. Token kurulduktan sonra:

signtool sign /fd sha256 /tr http://timestamp.digicert.com /td sha256 /a "dosya.exe"

/a parametresi, sistemde yüklü en uygun sertifikayı otomatik seçer.

Certificate Store'dan İmzalama

signtool sign /fd sha256 /tr http://timestamp.digicert.com /td sha256 /n "Sirket Adi" /sm "dosya.exe"

İmza Doğrulama

signtool verify /pa /v "dosya.exe"

Toplu İmzalama

Birden fazla dosyayı tek seferde imzalamak için:

for %%f in (*.exe *.dll *.msi) do signtool sign /fd sha256 /tr http://timestamp.digicert.com /td sha256 /a "%%f"

Dual Signing (SHA-1 + SHA-256)

Eski Windows sürümleriyle uyumluluk için çift imza:

# İlk imza - SHA-1
signtool sign /fd sha1 /t http://timestamp.digicert.com /a "dosya.exe"

# İkinci imza - SHA-256 (append)
signtool sign /as /fd sha256 /tr http://timestamp.digicert.com /td sha256 /a "dosya.exe"