我的 Windows MSI 安装程序具有使用有效代码签名证书签名的数字签名。 为了验证传入的更新安装程序，我使用 WinVerifyTrust 来验证文件信任，并检查签名者是否与我的组织名称（例如 ABC, Inc.）完全匹配。 但据报道，该文件可能受到证书链攻击的破坏。 黑客可以在不同的证书链路径下使用相同的签名者名称。那么，我能做些什么来防止这种攻击呢？验证每个签名者的姓名直到根 CA，或任何其他有效的方法来防止？ 一时想不通，需要高手帮忙指点迷津。
如果您不信任 Windows 中安装的 CA（尽管通常可以，因为这是每个人的安全边界），您始终可以设置自己的 CA 并向您的 MSI 添加第二个签名，该签名是使用由那个CA。您的更新程序可以检查，在常规 MSI 执行时，Windows 将满足常规证书。不过，您将承担运行自己的 CA 的开销，包括与某些客户打交道所产生的安全要求。