Windows 不喜欢签名的 MSI 包

Question

我已经使用高级安装程序准备了我的 MSI 包，然后使用SignTool 对其进行了签名：

signtool sign /debug /f "cert.pfx" /fd SHA256
/p "<pass>" /t http://timestamp.comodoca.com/authenticode "<file.msi>"

但是，当其他用户通过网络浏览器下载签名的 MSI 并进行安装时，会出现下一条消息：

我的 MSI 具有以下属性：

• 数字签名，由付费/商业生成 证书（科莫多）
• 时间戳
• 使用 SHA-256 而不是 SHA-1，因为最后一个在最新的 Windows 中不安全

所以，主要问题是下一个：

如果我使用商业代码签名证书对我签名的 MSI 进行了签名，为什么 Windows 不能识别它？

PS

如果您对使用的 Windows 版本感兴趣，那么答案是the latest Windows 10。 关于列表中的最后一个选项，有一个有趣的link，我将引用其中的一些文字：

2016 年 1 月 1 日生效，Windows（版本 7 及更高版本）和 Windows 服务器将不再信任使用 SHA-1 代码签名的新代码 用于 Web 标记相关场景的签名证书（例如文件 包含一个数字签名），并带有时间戳 值大于 2016 年 1 月 1 日。此截止日期适用于 代码签名证书本身。

Answer 1

当您尝试运行新发布的程序或尚未建立声誉的应用程序时，SmartScreen Protection 会显示上述消息。

SmartScreen® 服务智能算法根据 Windows 和 Internet Explorer 用户使用应用程序的方式建立声誉。

有关详细信息，请查看Win8 when install a signed application? 讨论此主题的通过智能屏幕。