Sur Windows, pour pouvoir lancer un programme sans ennui, celui-ci doit être signé numériquement afin de s'assurer qu'il est conforme à celui qui est sorti de chez son développeur, et qu'aucun virus ou autre malware n'y a été ajouté.
L'éditeur du programme possède pour cela une clé liée à son entreprise, qui lui permet de signer le code avant sa mise à disposition au public.
Ainsi, pour chacune de nos applications, à chaque version, nous devons signer l'exécutable du programme, mais aussi celui de l'utilitaire "myrpref" et du désinstallateur, ainsi que l'installateur lui-même, fourni ensuite au public en téléchargement. 4 signatures par programme (avant, 8 avec la version 32-bit).
Pour 5 programmes (Harmony, Melody, Melody Player et les 2 versions de PDFtoMusic), ça fait donc 20 signatures à appliquer.
Des scripts automatiques font tout ça pour nous. Et jusque-là les signatures étaient appliquées à partir des certificats stockés sur notre PC de développement.
A partir de cette année, ceci n'est plus possible, il faut un dispositif matériel sécurisé pour stocker le certificat (une clé USB spéciale appelée token) que nous avons reçue.
L'accès à ce token est protégé par l'entrée d'un mot de passe. Jusqu'ici tout va bien. 3 erreurs dans le mot de passe entraînent le blocage du token, qui peut être levée par le support technique du fournisseur de certificat.
Problème : 20 exécutables à signer impliquent entrer 20 fois le mot de passe !
Alors on a essayé de changer ça, via les options proposées par l'utilitaire de gestion du token, "Safenet Authentication Client". Elles sont prévues, on peut configurer un nombre de minutes pendant lesquelles l'entrée du mot de passe reste active, permettant de ne pas le redemander pendant la période. Mais souci, ces options sont réservées au mode "admin", dont nous n'avons pas le mot de passe. Et 5 erreurs dans le mot de passe admin entraîne un blocage définitif du token, qui peut être directement jeté à la corbeille.
Une demande à l'assistance technique nous a permis de résoudre ce problème : dans les paramètres de l'utilitaire de gestion du token, rubrique "Paramètres du client > avancé", il faut cocher "Autoriser le SSO"
Après cela, le mot de passe n'est plus demandé qu'une seule fois par session et non à chaque signature d'exécutable, ce qui redevient humainement gérable.
Mais franchement, n'y avait-il pas moyen de donner un nom plus explicite à cette option ? Comment deviner que SSO signifie "Single Sign-On" ?
Bon, l'essentiel reste qu'au final, ça fonctionne. On devrait être tranquilles jusqu'à février 2029
Bon week-end ! |
Signature de code avec token SafeNet
