Как проверить цифровую подпись файла (EXE, MSI) — защита от подделок

Что подтверждает цифровая подпись файла и что — нет

Технология, которой подписаны исполняемые файлы и инсталляторы Windows, называется Authenticode. Издатель получает код-сайнинг-сертификат у доверенного центра сертификации, подписывает им EXE или MSI — и в файл встраивается криптографическая подпись, которую Windows умеет проверять без обращения к издателю напрямую.

Подпись отвечает ровно на два вопроса: кто выпустил этот файл и не менялось ли его содержимое после подписания. Если хотя бы один байт файла изменился — подпись становится недействительной, и Windows сообщит об этом. Это делает Authenticode удобным инструментом для обнаружения подмены файла при пересылке или взломе сайта-источника.

Как проверить подпись через «Свойства» файла в Windows

Самый быстрый способ для обычного пользователя — штатное окно свойств файла, без установки дополнительных программ.

Что искать на вкладке «Цифровые подписи»

1. Нажмите правой кнопкой мыши на EXE- или MSI-файл и выберите «Свойства».
2. Откройте вкладку «Цифровые подписи». Если вкладки нет — файл не содержит встроенной подписи вообще (см. раздел о статусах ниже).
3. Выберите подпись в списке и нажмите «Сведения». Откроется окно с общим статусом подписи вверху.
4. Нажмите «Просмотреть сертификат», чтобы увидеть, кем и когда выдан сертификат издателя, и срок его действия.
5. Проверьте имя издателя на вкладке «Общие» сертификата — оно должно совпадать с ожидаемым разработчиком программы, а не быть похожим на него по написанию.

Если результат наверху окна — «Эта цифровая подпись действительна», файл прошёл базовую проверку целостности и происхождения. Любая другая формулировка требует дополнительного внимания — полный разбор статусов ниже.

Как читать результат проверки — таблица статусов

PowerShell-команда Get-AuthenticodeSignature (разберём её в следующем разделе) возвращает один из пяти статусов — они же, по сути, описывают и то, что можно увидеть в окне «Свойства».

Проверка подписи через PowerShell (Get-AuthenticodeSignature)

PowerShell даёт более подробный и удобный для копирования результат, чем окно «Свойства», и его проще применить сразу к нескольким файлам.

1. Откройте PowerShell (меню Пуск → «Windows PowerShell»).
2. Выполните команду Get-AuthenticodeSignature "C:\путь\к\файлу.exe" — замените путь на реальный, с кавычками, если в пути есть пробелы.
3. Посмотрите на поле Status в выводе — это один из пяти статусов из таблицы выше.
4. Посмотрите на поле SignerCertificate — там видно имя издателя (поле Subject) и срок действия сертификата.
5. Для проверки сразу нескольких файлов используйте Get-ChildItem "C:\Downloads\*.exe","C:\Downloads\*.msi" | Get-AuthenticodeSignature — команда построчно покажет статус каждого файла в папке.

Документация команды с полным списком параметров и возвращаемых полей — у Microsoft Learn.

Проверка через SignTool — для продвинутых и разработчиков

SignTool — утилита из Windows SDK, которой обычно подписывают файлы сами разработчики, но она же умеет и проверять подпись с более строгими настройками, чем штатный графический интерфейс. Это удобно в сборочных и CI-процессах, где нужен машинно читаемый результат.

1. Установите Windows SDK, если SignTool ещё не установлен (входит в состав SDK, устанавливается отдельно от Visual Studio).
2. Выполните команду signtool verify /pa "C:\путь\к\файлу.exe" — ключ /pa проверяет подпись по политике Authenticode, используемой по умолчанию в Windows.
3. Прочитайте код возврата. 0 — подпись успешно проверена; 1 — подпись не прошла проверку; другие коды соответствуют конкретным ошибкам (отсутствие подписи, проблема с цепочкой сертификатов и т. д.).

SignTool дополнительно проверяет, что цепочка сертификатов ведёт к доверенному корневому центру сертификации, и учитывает отзыв сертификата через список CRL — это строже, чем базовая проверка через окно «Свойства». Полный синтаксис и перечень ключей — в официальной документации Microsoft Learn.

Как проверить сертификат издателя и цепочку доверия

Сама по себе подпись бесполезна без доверия к тому, кто её поставил. Поэтому Windows проверяет не только криптографическую корректность подписи, но и цепочку сертификатов: сертификат издателя должен быть выдан промежуточным центром сертификации, а тот, в свою очередь, — одним из корневых ЦС, которым доверяет операционная система.

В окне «Просмотреть сертификат» (см. раздел про «Свойства») вкладка «Путь сертификации» показывает всю цепочку — от сертификата издателя до корневого ЦС. Если рядом с каким-то звеном цепочки стоит красный крестик, цепочка доверия нарушена, и Windows не сможет подтвердить подлинность издателя, даже если сама подпись технически корректна.

Также стоит обращать внимание на срок действия сертификата издателя и на временную метку (timestamp) подписи — если она присутствует, подпись остаётся действительной и после истечения срока действия самого сертификата, потому что фиксирует момент, когда файл был подписан, а не момент проверки.

Отдельно про MSI-установщики: та же логика?

Да — MSI-файлы подписываются и проверяются по тому же механизму Authenticode, что и EXE: через «Свойства» → «Цифровые подписи» или через Get-AuthenticodeSignature, та же таблица статусов, те же выводы. Разница с EXE скорее практическая: MSI часто распространяют корпоративные инсталляторы, которые ставят ПО через групповые политики, и там подпись дополнительно подтверждает, что пакет не подменили перед массовым развёртыванием на множество компьютеров. Если нужно разобраться, что такое формат MSI в целом и чем он отличается от обычного EXE-установщика, — отдельный разбор в статье файл MSI: что это и как его открыть.

Почему у некоторых безопасных программ подписи нет

Отсутствие подписи само по себе не означает, что файл опасен. Код-сайнинг-сертификат стоит денег и требует ежегодного продления, поэтому многие небольшие open-source-проекты и бесплатные утилиты энтузиастов распространяются без подписи — у разработчика просто нет бюджета на сертификат. Внутренний корпоративный софт, который компания пишет и использует только у себя, тоже часто остаётся неподписанным: его и так распространяют по контролируемым каналам, а не через открытый интернет.

Команды, которые разрабатывают и поставляют клиентам собственное ПО, обычно сами подписывают свои установщики цифровой подписью — так заказчик видит подтверждённого издателя уже при первом запуске, без дополнительных объяснений. Этим, в частности, занимается команда YuSMP Group при заказной разработке и аудите ПО.

Типичные ошибки при проверке подписи

Доверять только наличию подписи, не читая имя издателя

Windows покажет «Эта цифровая подпись действительна» для ЛЮБОГО корректно подписанного файла — включая тот, что подписан сертификатом неизвестной компании с похожим на бренд названием. Статус «действительна» проверяет криптографию, а не то, стоит ли доверять конкретному издателю: имя в сертификате нужно сверять самостоятельно.

Считать NotSigned автоматическим признаком опасности

Отсутствие подписи — это нейтральный факт, а не диагноз. Большая часть легитимного бесплатного и open-source софта не подписана именно из-за стоимости сертификата, а не из-за злого умысла разработчика.

Не проверять MSI отдельно, если проверили EXE из того же комплекта

Если инсталлятор распространяется и как EXE, и как MSI, подпись нужно смотреть у того файла, который вы реально запускаете, — встроенный лаунчер и сам MSI-пакет технически являются разными файлами и могут быть подписаны (или не подписаны) по-разному.

Игнорировать предупреждение об отозванном сертификате

Статус вроде UnknownError, вызванный отзывом сертификата издателя, — это не техническая мелочь, а сигнал, что сам центр сертификации или издатель посчитали сертификат скомпрометированным. Такой файл не стоит запускать, пока не выяснится причина отзыва.

Что делать, если подписи нет или она недействительна

1. Не запускайте файл сразу. Отсутствие или недействительность подписи — повод на шаг притормозить, а не однозначный запрет.
2. Проверьте файл на вирусы онлайн. Мультисканер из нескольких антивирусных движков — быстрый дополнительный сигнал; подробный порядок такой проверки — в статье как проверить файл на вирусы онлайн.
3. Сверьте контрольную сумму файла с указанной на официальном сайте разработчика, если она опубликована, — это альтернативный способ подтвердить целостность файла без подписи, разобранный в статье как проверить контрольную сумму файла.
4. Скачайте файл заново с официального источника, если есть сомнения в том, откуда он взялся изначально.
5. При статусе HashMismatch или отозванном сертификате — не запускайте файл вообще и удалите скачанную копию.

Часто задаваемые вопросы

Читайте также

• Опасные расширения файлов: что нельзя открывать без проверки →
• BAT, CMD, VBS-скрипты: как проверить перед запуском →
• Двойное расширение файла: как распознать подмену →
• Файл MSI: что это и как его открыть →
• Как проверить контрольную сумму файла и зачем это нужно →
• Чем открыть файл .sig — электронная подпись →