Como assinar digitalmente arquivos vsix usando o eSigner CKA

A .vsix file é um pacote do Visual Studio Extension Installer usado pelo Microsoft Visual Studio. Ele contém software que adiciona novas funcionalidades ou estende capacidades existentes dentro do Visual Studio IDE (Integrated Development Environment).

Proteger seu pacote VSIX com uma assinatura digital aumenta sua segurança e impede modificações não autorizadas. Ao instalar, o instalador VSIX mostra a assinatura digital e fornece um link para o certificado. Quaisquer alterações não autorizadas no conteúdo VSIX, sem uma atualização correspondente na assinatura digital, farão com que o instalador alerte o usuário sobre uma assinatura de pacote comprometida. eSigner CKA (Cloud Key Adapter) é um aplicativo do Windows que utiliza a interface CNG (KSP Key Service Provider) para habilitar ferramentas como certutil.exe e signtool.exe para acessar a API do eSigner Cloud Signature Consortium (CSC) para tarefas de assinatura de código empresarial. Funcionando como um token USB virtual, ele carrega certificados de assinatura de código diretamente no armazenamento de certificados do Windows.

Requisitos

1. Compre um SSL.com Certificado de assinatura de código or Certificado de assinatura de código de validação estendida (EV)
2. Registre seu certificado de assinatura de código no eSigner
3. Baixe e instale o eSigner CKA

Passos para assinar

1. Baixe o SDK do Dotnet Core: https://dotnet.microsoft.com/en-us/download/dotnet/7.0
2. Instalar OpenVSIXSignTool
   ferramenta dotnet install -g OpenVsixSignTool
3. Use este comando de sinal:
   OpenVsixSignTool sign --sha1 CERTIFICATE THUMBPRINT --timestamp http://ts.ssl.com -ta sha256 -fd sha256 "SIGNABLE FILE PATH"