프로그래밍 방식으로 앱 패키지에 서명하는 방법(C++)

아티클
06/13/2023

SignerSignEx2 함수를 사용하여 앱 패키지에 서명하는 방법을 알아봅니다.

패키징 API를 사용하여 프로그래밍 방식으로 Windows 앱 패키지를 만들려면 앱 패키지를 배포하기 전에 서명해야 합니다. 패키징 API는 앱 패키지 서명에 대한 특수한 방법을 제공하지 않습니다. 대신 표준 암호화 함수를 사용하여 앱 패키지에 서명합니다.

알아야 하는 작업

기술

사전 요구 사항

패키지된 Windows 앱이 있어야 합니다. 앱 패키지를 만드는 방법에 대한 자세한 내용은 앱 패키지를 만드는 방법을 참조하세요.
앱 패키지 서명에 적합한 코드 서명 인증서가 있어야 합니다. 테스트 코드 서명 인증서를 만드는 방법에 대한 자세한 내용은 앱 패키지 서명 인증서를 만드는 방법을 참조하세요. 이 서명 인증서를 CERT_CONTEXT 구조로 로드합니다. 예를 들어 PFXImportCertStore 및 CertFindCertificateInStore 를 사용하여 서명 인증서를 로드할 수 있습니다.
Windows 8 SignerSignEx2 함수를 소개합니다. Windows 앱 패키지에 서명할 때 SignerSignEx2 를 사용합니다.

지침

1단계: SignerSignEx2에 필요한 구조 정의

Wincrypt.h 헤더 외에도 SignerSignEx2 함수는 SDK 헤더 파일에 정의되지 않은 많은 구조체에 따라 달라집니다. SignerSignEx2를 사용하려면 다음 구조를 직접 정의해야 합니다.

typedef struct _SIGNER_FILE_INFO
{
    DWORD cbSize;
    LPCWSTR pwszFileName;
    HANDLE hFile;
}SIGNER_FILE_INFO, *PSIGNER_FILE_INFO;
 
typedef struct _SIGNER_BLOB_INFO
{
    DWORD cbSize;
    GUID *pGuidSubject;
    DWORD cbBlob;
    BYTE *pbBlob;
    LPCWSTR pwszDisplayName;
}SIGNER_BLOB_INFO, *PSIGNER_BLOB_INFO;
 
typedef struct _SIGNER_SUBJECT_INFO
{
    DWORD cbSize;
    DWORD *pdwIndex;
    DWORD dwSubjectChoice;
    union
    {
        SIGNER_FILE_INFO *pSignerFileInfo;
        SIGNER_BLOB_INFO *pSignerBlobInfo;
    };
}SIGNER_SUBJECT_INFO, *PSIGNER_SUBJECT_INFO;
 
// dwSubjectChoice should be one of the following:
#define SIGNER_SUBJECT_FILE    0x01
#define SIGNER_SUBJECT_BLOB    0x02
 
typedef struct _SIGNER_ATTR_AUTHCODE
{
    DWORD cbSize;
    BOOL fCommercial;
    BOOL fIndividual;
    LPCWSTR pwszName;
    LPCWSTR pwszInfo;
}SIGNER_ATTR_AUTHCODE, *PSIGNER_ATTR_AUTHCODE;
 
typedef struct _SIGNER_SIGNATURE_INFO
{
    DWORD cbSize;
    ALG_ID algidHash;
    DWORD dwAttrChoice;
    union
    {
        SIGNER_ATTR_AUTHCODE *pAttrAuthcode;
    };
    PCRYPT_ATTRIBUTES psAuthenticated;
    PCRYPT_ATTRIBUTES psUnauthenticated;
}SIGNER_SIGNATURE_INFO, *PSIGNER_SIGNATURE_INFO;
 
// dwAttrChoice should be one of the following:
#define SIGNER_NO_ATTR          0x00
#define SIGNER_AUTHCODE_ATTR    0x01
 
typedef struct _SIGNER_PROVIDER_INFO
{
    DWORD cbSize;
    LPCWSTR pwszProviderName;
    DWORD dwProviderType;
    DWORD dwKeySpec;
    DWORD dwPvkChoice;
    union
    {
        LPWSTR pwszPvkFileName;
        LPWSTR pwszKeyContainer;
    };
}SIGNER_PROVIDER_INFO, *PSIGNER_PROVIDER_INFO;
 
//dwPvkChoice should be one of the following:
#define PVK_TYPE_FILE_NAME       0x01
#define PVK_TYPE_KEYCONTAINER    0x02
 
typedef struct _SIGNER_SPC_CHAIN_INFO
{
    DWORD cbSize;
    LPCWSTR pwszSpcFile;
    DWORD dwCertPolicy; 
    HCERTSTORE hCertStore;
}SIGNER_SPC_CHAIN_INFO, *PSIGNER_SPC_CHAIN_INFO;
 
typedef struct _SIGNER_CERT_STORE_INFO
{
    DWORD cbSize;
    PCCERT_CONTEXT pSigningCert;
    DWORD dwCertPolicy;
    HCERTSTORE hCertStore;
}SIGNER_CERT_STORE_INFO, *PSIGNER_CERT_STORE_INFO;
 
//dwCertPolicy can be a combination of the following flags:
#define SIGNER_CERT_POLICY_STORE            0x01
#define SIGNER_CERT_POLICY_CHAIN            0x02
#define SIGNER_CERT_POLICY_SPC              0x04
#define SIGNER_CERT_POLICY_CHAIN_NO_ROOT    0x08
 
typedef struct _SIGNER_CERT
{
    DWORD cbSize;
    DWORD dwCertChoice;
    union
    {
        LPCWSTR pwszSpcFile;
        SIGNER_CERT_STORE_INFO *pCertStoreInfo;
        SIGNER_SPC_CHAIN_INFO *pSpcChainInfo;
    };
    HWND hwnd;
}SIGNER_CERT, *PSIGNER_CERT;
 
//dwCertChoice should be one of the following
#define SIGNER_CERT_SPC_FILE     0x01
#define SIGNER_CERT_STORE        0x02
#define SIGNER_CERT_SPC_CHAIN    0x03
 
typedef struct _SIGNER_CONTEXT
{
    DWORD cbSize;
    DWORD cbBlob;
    BYTE *pbBlob;
}SIGNER_CONTEXT, *PSIGNER_CONTEXT;
 
typedef struct _SIGNER_SIGN_EX2_PARAMS
{
    DWORD dwFlags;
    PSIGNER_SUBJECT_INFO pSubjectInfo;
    PSIGNER_CERT pSigningCert;
    PSIGNER_SIGNATURE_INFO pSignatureInfo;
    PSIGNER_PROVIDER_INFO pProviderInfo;
    DWORD dwTimestampFlags;
    PCSTR pszAlgorithmOid;
    PCWSTR pwszTimestampURL;
    PCRYPT_ATTRIBUTES pCryptAttrs;
    PVOID pSipData;
    PSIGNER_CONTEXT *pSignerContext;
    PVOID pCryptoPolicy;
    PVOID pReserved;
} SIGNER_SIGN_EX2_PARAMS, *PSIGNER_SIGN_EX2_PARAMS;
 
typedef struct _APPX_SIP_CLIENT_DATA
{
    PSIGNER_SIGN_EX2_PARAMS pSignerParams;
    IUnknown* pAppxSipState;
} APPX_SIP_CLIENT_DATA, *PAPPX_SIP_CLIENT_DATA;

2단계: SignerSignEx2를 호출하여 앱 패키지 서명

이전 단계에서 지정한 필수 구조를 정의한 후 SignerSignEx2 함수에서 사용할 수 있는 옵션을 사용하여 앱 패키지에 서명할 수 있습니다. Windows 앱 패키지에서 SignerSignEx2 를 사용하는 경우 다음 제한이 적용됩니다.

앱 패키지에 서명할 때 APPX_SIP_CLIENT_DATA 구조체에 대한 포인터를 pSipData 매개 변수로 제공해야 합니다. 앱 패키지에 서명하는 데 사용하는 것과 동일한 매개 변수로 APPX_SIP_CLIENT_DATApSignerParams 멤버를 채워야 합니다. 이렇게 하려면 SIGNER_SIGN_EX2_PARAMS 구조체에서 원하는 매개 변수를 정의하고 이 구조체의 주소를 pSignerParams에 할당한 다음 SignerSignEx2를 호출할 때 구조체의 멤버를 직접 참조합니다.
SignerSignEx2를 호출한 후에는 NULL이 아닌 경우 pAppxSipState에서 IUnknown::Release를 호출하여 pSipData에서 pAppxSipState를 해제해야 합니다.
SIGNER_SIGNATURE_INFO 구조체의 algidHash 멤버는 앱 패키지를 만드는 데 사용된 것과 동일한 해시 알고리즘이어야 합니다. 앱 패키지에서 해시 알고리즘을 확인하는 방법에 대한 자세한 내용은 SignTool을 사용하여 앱 패키지에 서명하는 방법을 참조하세요. MakeAppx 및 Visual Studio에서 앱 패키지를 만드는 데 사용하는 Windows 8 기본 알고리즘은 "algidHash = CALG_SHA_256"입니다.
앱 패키지에서 서명을 타임스탬프하려면 SignerSignEx2의 선택적 타임스탬프 매개 변수(dwTimestampFlags, pszTimestampAlgorithmOid, pwszHttpTimeStamp, psRequest)를 제공하여 SignerSignEx2를 호출하는 동안 이 작업을 수행해야 합니다. 이미 서명된 앱 패키지에서 SignerTimeStampEx3 또는 해당 변형을 호출하는 것은 지원되지 않습니다.

SignerSignEx2를 호출하는 방법을 보여 주는 몇 가지 예제 코드는 다음과 같습니다.

HRESULT SignAppxPackage(
    _In_ PCCERT_CONTEXT signingCertContext,
    _In_ LPCWSTR packageFilePath)
{
    HRESULT hr = S_OK;
 
    // Initialize the parameters for SignerSignEx2
    DWORD signerIndex = 0;
 
    SIGNER_FILE_INFO fileInfo = {};
    fileInfo.cbSize = sizeof(SIGNER_FILE_INFO);
    fileInfo.pwszFileName = packageFilePath;
 
    SIGNER_SUBJECT_INFO subjectInfo = {};
    subjectInfo.cbSize = sizeof(SIGNER_SUBJECT_INFO);
    subjectInfo.pdwIndex = &signerIndex;
    subjectInfo.dwSubjectChoice = SIGNER_SUBJECT_FILE;
    subjectInfo.pSignerFileInfo = &fileInfo;
 
    SIGNER_CERT_STORE_INFO certStoreInfo = {};
    certStoreInfo.cbSize = sizeof(SIGNER_CERT_STORE_INFO);
    certStoreInfo.dwCertPolicy = SIGNER_CERT_POLICY_CHAIN_NO_ROOT;
    certStoreInfo.pSigningCert = signingCertContext;
 
    SIGNER_CERT cert = {};
    cert.cbSize = sizeof(SIGNER_CERT);
    cert.dwCertChoice = SIGNER_CERT_STORE;
    cert.pCertStoreInfo = &certStoreInfo;
 
    // The algidHash of the signature to be created must match the
    // hash algorithm used to create the app package
    SIGNER_SIGNATURE_INFO signatureInfo = {};
    signatureInfo.cbSize = sizeof(SIGNER_SIGNATURE_INFO);
    signatureInfo.algidHash = CALG_SHA_256; 
    signatureInfo.dwAttrChoice = SIGNER_NO_ATTR;
 
    SIGNER_SIGN_EX2_PARAMS signerParams = {};
    signerParams.pSubjectInfo = &subjectInfo;
    signerParams.pSigningCert = &cert;
    signerParams.pSignatureInfo = &signatureInfo;
 
    APPX_SIP_CLIENT_DATA sipClientData = {};
    sipClientData.pSignerParams = &signerParams;
    signerParams.pSipData = &sipClientData;
 
    // Type definition for invoking SignerSignEx2 via GetProcAddress
    typedef HRESULT (WINAPI *SignerSignEx2Function)(
        DWORD,
        PSIGNER_SUBJECT_INFO,
        PSIGNER_CERT,
        PSIGNER_SIGNATURE_INFO,
        PSIGNER_PROVIDER_INFO,
        DWORD,
        PCSTR,
        PCWSTR,
        PCRYPT_ATTRIBUTES,
        PVOID,
        PSIGNER_CONTEXT *,
        PVOID,
        PVOID); 
 
    // Load the SignerSignEx2 function from MSSign32.dll
    HMODULE msSignModule = LoadLibraryEx(
        L"MSSign32.dll", 
        NULL, 
        LOAD_LIBRARY_SEARCH_SYSTEM32);

    if (msSignModule)
    {
        SignerSignEx2Function SignerSignEx2 = reinterpret_cast<SignerSignEx2Function>(
            GetProcAddress(msSignModule, "SignerSignEx2"));
        if (SignerSignEx2)
        {
            hr = SignerSignEx2(
                signerParams.dwFlags,
                signerParams.pSubjectInfo,
                signerParams.pSigningCert,
                signerParams.pSignatureInfo,
                signerParams.pProviderInfo,
                signerParams.dwTimestampFlags,
                signerParams.pszAlgorithmOid,
                signerParams.pwszTimestampURL,
                signerParams.pCryptAttrs,
                signerParams.pSipData,
                signerParams.pSignerContext,
                signerParams.pCryptoPolicy,
                signerParams.pReserved);
        }
        else
        {
            DWORD lastError = GetLastError();
            hr = HRESULT_FROM_WIN32(lastError);
        }
 
        FreeLibrary(msSignModule);
    }
    else
    {
        DWORD lastError = GetLastError();
        hr = HRESULT_FROM_WIN32(lastError);
    }
 
    // Free any state used during app package signing
    if (sipClientData.pAppxSipState)
    {
        sipClientData.pAppxSipState->Release();
    }
 
    return hr;
}

설명

앱 패키지에 서명한 후에는 winVerifyTrust 함수를 WINTRUST_ACTION_GENERIC_VERIFY_V2 사용하여 프로그래밍 방식으로 서명의 유효성을 검사할 수도 있습니다. 이 경우 Windows 앱 패키지와 함께 WinVerifyTrust 를 사용하기 위한 특별한 고려 사항은 없습니다.

코드 서명 소개
패키징 API
암호화 함수

다음을 통해 공유

프로그래밍 방식으로 앱 패키지에 서명하는 방법(C++)

알아야 하는 작업

기술

사전 요구 사항

지침

1단계: SignerSignEx2에 필요한 구조 정의

2단계: SignerSignEx2를 호출하여 앱 패키지 서명

설명

피드백

추가 리소스

다음을 통해 공유

프로그래밍 방식으로 앱 패키지에 서명하는 방법(C++)

알아야 하는 작업

기술

사전 요구 사항

지침

1단계: SignerSignEx2에 필요한 구조 정의

2단계: SignerSignEx2를 호출하여 앱 패키지 서명

설명

관련 항목

피드백

추가 리소스