У меня так и не дошли руки сделать себе code signing, и решил пока попробовать другой путь. Я написал на сайте инструкцию, как не обращать внимания на предупреждения Windows Defender-а. Далее, поскольку используемый мной протектор иногда способствует ложным положительным срабатываниям антивирусов, надо предоставить пользователям доказательства, что им нечего бояться. Сейчас я просканировал последнюю версию моей программы virustotal-ом, и выложил на сайт скриншоты, точнее даже не скриншоты а фотографии монитора компьютера. Что ещё можно придумать? Один человек написал что можно выложить программу на github, но я попробовал погуглить и не нашёл, чтобы на гитхабе кто-то проверял программы на вирусы. А нет ли других фирм, которым можно это предложить? Если таких фирм нет, хорошо бы придумать какой-нибудь более убедительный пруф, чем скриншот выдачи вирустотала. Просьба погенерить идеи.

Здравствуйте, Khimik, Вы писали:

K>У меня так и не дошли руки сделать себе code signing, и решил пока попробовать другой путь. Я написал на сайте инструкцию, как не обращать внимания на предупреждения Windows Defender-а. Далее, поскольку используемый мной протектор иногда способствует ложным положительным срабатываниям антивирусов, надо предоставить пользователям доказательства, что им нечего бояться. Сейчас я просканировал последнюю версию моей программы virustotal-ом, и выложил на сайт скриншоты, точнее даже не скриншоты а фотографии монитора компьютера. Что ещё можно придумать? Один человек написал что можно выложить программу на github, но я попробовал погуглить и не нашёл, чтобы на гитхабе кто-то проверял программы на вирусы. А нет ли других фирм, которым можно это предложить? Если таких фирм нет, хорошо бы придумать какой-нибудь более убедительный пруф, чем скриншот выдачи вирустотала. Просьба погенерить идеи.

Это может сработает, если аудитория суперлояльная. Те люди, которые больше доверяют антивирусу, чем вендору, отвалятся.

Кроме того, я никогда такого не видел, а надо следовать стандартам в индустрии. Стандарт — это подписанные сертификатом файлы. Не говоря уже о том, что возникает подозрение, а почему вендор не может подписать файл, и что, собственно, с ним не так.

Здравствуйте, Khimik, Вы писали:

K>У меня так и не дошли руки сделать себе code signing, и решил пока попробовать другой путь. Я написал на сайте инструкцию, как не обращать внимания на предупреждения Windows Defender-а. Далее, поскольку используемый мной протектор иногда способствует ложным положительным срабатываниям антивирусов, надо предоставить пользователям доказательства, что им нечего бояться. Сейчас я просканировал последнюю версию моей программы virustotal-ом, и выложил на сайт скриншоты, точнее даже не скриншоты а фотографии монитора компьютера. Что ещё можно придумать? Один человек написал что можно выложить программу на github, но я попробовал погуглить и не нашёл, чтобы на гитхабе кто-то проверял программы на вирусы. А нет ли других фирм, которым можно это предложить? Если таких фирм нет, хорошо бы придумать какой-нибудь более убедительный пруф, чем скриншот выдачи вирустотала. Просьба погенерить идеи.

Если у тебя до сих пор не возник вопрос о подписи, должно быть у тебя супер-лояльная аудитория, которая знает тебя лично и полностью доверяет твоему сайту.
В этом случае нет смысла заморачиваться, инструкции как обойти достаточно.

Здравствуйте, Khimik, Вы писали:

K>У меня так и не дошли руки сделать себе code signing, и решил пока попробовать другой путь.


Скажите, а в чем принципиальная сложность получить такую подпись сейчас? Беглый поиск показал, что подпись приобретается без проблем. А выдумывать костыли с фотографиями монитора и выкладываением на сайте — это губить свой бизнес. Явно найдутся те, кто не захочет связываться с мутным софтом...

Здравствуйте, user33, Вы писали:


K>>У меня так и не дошли руки сделать себе code signing, и решил пока попробовать другой путь.


U>Скажите, а в чем принципиальная сложность получить такую подпись сейчас? Беглый поиск показал, что подпись приобретается без проблем. А выдумывать костыли с фотографиями монитора и выкладываением на сайте — это губить свой бизнес. Явно найдутся те, кто не захочет связываться с мутным софтом...

Ну например, если я правильно понял, в РФ подпись делает только Global Sign, и только для юридических лиц, т.е. мне (физику) придётся оформлять ИП.

Здравствуйте, Khimik, Вы писали:

K>Ну например, если я правильно понял, в РФ подпись делает только Global Sign, и только для юридических лиц, т.е. мне (физику) придётся оформлять ИП.

Сделай онлайн-инсталлер и договорись с кем-нибудь его подписать. Кто тебе доверяет, может из здешних обитателей.

Здравствуйте, Qt-Coder, Вы писали:

QC>Сделай онлайн-инсталлер и договорись с кем-нибудь его подписать. Кто тебе доверяет, может из здешних обитателей.

Так были уже такие темы. Коалиция желающих разбежалась по кустам, своим сертом чужой код никто не хочет подписывать.

Здравствуйте, bnk, Вы писали:

bnk>Так были уже такие темы. Коалиция желающих разбежалась по кустам, своим сертом чужой код никто не хочет подписывать.

Тут дело даже не в нежелании как таковом (хотя и его можно понять — подписывать сторонний софт, да еще, наверное, и на регулярной основе, это как-то ), а в том, что это просто-напросто запрещено правилами и чревато отзывом сертификата. Небось еще и баном (хотя тут не уверен), что новый сертификат не получишь никогда. К чему такие риски, причем всего лишь из-за чьего-то нежелания зарегистрировать ИП или ООО.

Если речь об опенсорсе, то это другое дело: там и аудитория все понимает, и в крайнем случае, кто опасается, сам все соберет.

Здравствуйте, bnk, Вы писали:

bnk>Так были уже такие темы. Коалиция желающих разбежалась по кустам, своим сертом чужой код никто не хочет подписывать.

своим сертом чужой код никто не хочет подписывать за бесплатно

Здравствуйте, Unhandled_Exception, Вы писали:

U_E>Здравствуйте, bnk, Вы писали:

bnk>>Так были уже такие темы. Коалиция желающих разбежалась по кустам, своим сертом чужой код никто не хочет подписывать.

U_E>Тут дело даже не в нежелании как таковом (хотя и его можно понять — подписывать сторонний софт, да еще, наверное, и на регулярной основе, это как-то ), а в том, что это просто-напросто запрещено правилами и чревато отзывом сертификата. Небось еще и баном (хотя тут не уверен), что новый сертификат не получишь никогда.

Напомните, как реализован механизм контроля что вы подписываете сертификатом? Это разве не сугубо ваше личное дело что подписывать?

и на регулярной основе, это как-то

Я потому и написал чтобы он нахимичил онлайн инсталлер. Его бы только подписал.

Здравствуйте, Khimik, Вы писали:

K>Что ещё можно придумать?

Сделать внизу ленту отзывов:

— Спасибо, скачал, прога супер!
— У меня на нее система ругается, это не опасно?
— Не ссы, там все честно, системный анализатор — отстой, автор-молодец!
— Оно просит номер телефона, это нормально?
— Да, вводи, не бойся, потом по ссылке из SMS надо ввести номер карты, срок действия и CVV-код, чтоб на карту перечислили бонус!

Здравствуйте, Qt-Coder, Вы писали:

QC>Напомните, как реализован механизм контроля что вы подписываете сертификатом? Это разве не сугубо ваше личное дело что подписывать?

Наверняка есть регламент, но точно не скажу...

Здравствуйте, Khimik, Вы писали:

K>У меня так и не дошли руки сделать себе code signing, и решил пока попробовать другой путь. Я написал на сайте инструкцию, как не обращать внимания на предупреждения Windows Defender-а. Далее, поскольку используемый мной протектор иногда способствует ложным положительным срабатываниям антивирусов, надо предоставить пользователям доказательства, что им нечего бояться. Сейчас я просканировал последнюю версию моей программы virustotal-ом, и выложил на сайт скриншоты, точнее даже не скриншоты а фотографии монитора компьютера. Что ещё можно придумать? Один человек написал что можно выложить программу на github, но я попробовал погуглить и не нашёл, чтобы на гитхабе кто-то проверял программы на вирусы. А нет ли других фирм, которым можно это предложить? Если таких фирм нет, хорошо бы придумать какой-нибудь более убедительный пруф, чем скриншот выдачи вирустотала. Просьба погенерить идеи.

По поводу гитхаба.
Там публикуется исходный код, и если при помощи ci/cd (описание там-же в коде) будет прозрачно, что скачанный на странице загрузки бинарный инсталатор однозначно собирается по инструкциям и из того кода, который в гитхабе.
Тогда гик, или кто-то за деньги может проанализаровать и сделать выводы.
Если код не публикуешь, то гитхаб тебе не нужен, а если публикуешь, то только гики или фанаты open source оценят.

Здравствуйте, Qt-Coder, Вы писали:

U_E>>Тут дело даже не в нежелании как таковом (хотя и его можно понять — подписывать сторонний софт, да еще, наверное, и на регулярной основе, это как-то ), а в том, что это просто-напросто запрещено правилами и чревато отзывом сертификата. Небось еще и баном (хотя тут не уверен), что новый сертификат не получишь никогда.

QC>Напомните, как реализован механизм контроля что вы подписываете сертификатом?

"До первой жалобы". т.е. до первого человека который сопоставит подпись с копирайтом.

QC>Это разве не сугубо ваше личное дело что подписывать?

Наверняка там есть юридическая лазейка, от таких подписывателей.

Снаружи это выглядит как компрометация ключа. т.е. автоматически отзывает ключ, превращает в тыкву всё им подписанное, и после, может быть, после того как ты докажешь что это "личное дело что подписывать" — получение нового ключа (по полной процедуре подтверждения) с пересборкой всего.

Все проблемы от жадности и глупости