已签名ClickOnce部署VSTO加载项部分设备显示未知发布者如何解决

核心成因 #

• 无外网环境下证书吊销校验失败：Sectigo颁发的公网代码签名证书默认需要进行CRL/OCSP吊销状态校验，封闭环境设备无法连接公网完成校验时，系统会直接判定证书可信度不足，哪怕已手动导入证书也会显示未知发布者，这是无外网场景下最常见的诱因。
• 证书链安装位置错误：多数用户仅将代码签名叶子证书导入受信任发布者存储，但完整信任链需要根证书导入「受信任的根证书颁发机构」、中级CA证书导入「中级证书颁发机构」，链不完整的情况下系统无法完成信任校验。
• .NET Framework 4.6.1签名规则限制：.NET Framework 4.6及以上版本默认启用强签名校验，如果ClickOnce清单仅使用SHA1算法签名、或未添加符合要求的时间戳，会被新系统的安全规则拦截。
• 企业组策略限制：部分企业安全组策略会要求受信任发布者证书必须存储在本地计算机级存储、或仅允许指定指纹/颁发者的证书生效，仅导入当前用户存储的证书会被策略拦截。

解决方案 #

针对无外网封闭环境适配 #

• 禁用证书吊销校验，执行对应注册表命令即可生效：
  单用户生效命令：reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\WinTrust\Trust Providers\Software Publishing" /v State /t REG_DWORD /d 0x00023e00 /f
  全设备生效命令：reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\WinTrust\Trust Providers\Software Publishing" /v State /t REG_DWORD /d 0x00023e00 /f

该配置仅建议在完全无外网的封闭环境使用，公网环境关闭吊销校验会存在安全风险。

规范证书链安装 #

• 导出代码签名证书的完整信任链（根证书、中级CA证书、代码签名叶子证书）
• 根证书导入「本地计算机\受信任的根证书颁发机构」存储
• 中级CA证书导入「本地计算机\中级证书颁发机构」存储
• 代码签名叶子证书导入「本地计算机\受信任的发布者」存储

必须选择本地计算机级存储，而非当前用户存储，否则设备上其他账号登录时仍会出现信任校验失败问题。

优化ClickOnce签名配置 #

• 项目属性的签名页中，确认签名算法使用SHA256，禁用SHA1签名避免被系统拦截
• 签名时添加SHA256时间戳，既可以保证证书过期后签名依然有效，也能提升系统校验通过率
• 命令行签名参考指令：mage.exe -sign YourAddIn.vsto -certfile yourcert.pfx -password yourpwd -timestamp http://timestamp.sectigo.com/?td=sha256

适配企业组策略规则 #

• 确认代码签名证书的增强密钥用法包含「代码签名(1.3.6.1.5.5.7.3.3)」、密钥用法包含「数字签名」
• 联系客户IT确认组策略中「受信任发布者的证书必须位于计算机存储」开关状态，开启状态下必须按前文要求将证书导入本地计算机级存储
• 如果客户配置了受信任发布者证书指纹白名单，将代码签名证书的SHA256指纹添加到允许列表即可

内容的提问来源于stack exchange，提问作者Kenny Arnold