Sobre assinatura
Descrição breve
Explica como assinar scripts para que eles cumpram as políticas de execução do PowerShell.
Descrição longa
A política de execução restrita não permite que nenhum script seja executado. As políticas de execução AllSigned e RemoteSigned impedem o PowerShell de executar scripts que não têm uma assinatura digital.
Este tópico explica como executar scripts selecionados que não estão assinados, mesmo que a política de execução seja RemoteSigned e como assinar scripts para seu próprio uso.
Para obter mais informações sobre políticas de execução do PowerShell, consulte about_Execution_Policies.
Para permitir a execução de scripts assinados
Quando você inicia o PowerShell em um computador pela primeira vez, a política de execução restrita (o padrão) provavelmente estará em vigor.
A política restrita não permite que nenhum script seja executado.
Para localizar a política de execução efetiva em seu computador, digite:
Get-ExecutionPolicy
Para executar scripts não assinados que você escreve no computador local e scripts assinados de outros usuários, inicie o PowerShell com a opção Executar como Administrador e use o seguinte comando para alterar a política de execução no computador para RemoteSigned:
Set-ExecutionPolicy RemoteSigned
Para obter mais informações, consulte o tópico de ajuda para o Set-ExecutionPolicy cmdlet.
Executando scripts não assinados usando a política de execução RemoteSigned
Se sua política de execução do PowerShell for RemoteSigned, o PowerShell não executará scripts não assinados baixados da Internet, incluindo scripts não assinados que você recebe por meio de programas de email e mensagens instantâneas.
Se você tentar executar um script baixado, o PowerShell exibirá a seguinte mensagem de erro:
The file <file-name> cannot be loaded. The file <file-name> is not digitally
signed. The script will not execute on the system. Please see "Get-Help
about_Signing" for more details.
Antes de executar o script, examine o código para ter certeza de que você confia nele. Os scripts têm o mesmo efeito que qualquer programa executável.
Para executar um script sem sinal, use o cmdlet Unblock-File ou use o procedimento a seguir.
- Salve o arquivo de script no computador.
- Clique em Iniciar, clique em Meu Computador e localize o arquivo de script salvo.
- Clique com o botão direito do mouse no arquivo de script e clique em Propriedades.
- Clique em Desbloquear.
Se um script que foi baixado da Internet for assinado digitalmente, mas você ainda não tiver escolhido confiar em seu editor, o PowerShell exibirá a seguinte mensagem:
Do you want to run software from this untrusted publisher?
The file <file-name> is published by CN=<publisher-name>. This
publisher is not trusted on your system. Only run scripts
from trusted publishers.
[V] Never run [D] Do not run [R] Run once [A] Always run
[?] Help (default is "D"):
Se você confiar no publicador, selecione "Executar uma vez" ou "Sempre executar". Se você não confiar no publicador, selecione "Nunca executar" ou "Não executar". Se você selecionar "Nunca executar" ou "Sempre executar", o PowerShell não solicitará novamente esse publicador.
Métodos de assinatura de scripts
Você pode assinar os scripts que você escreve e os scripts obtidos de outras fontes. Antes de assinar qualquer script, examine cada comando para verificar se é seguro executar.
Para obter práticas recomendadas sobre a assinatura de código, consulte As Práticas Recomendadas de Assinatura de Código.
Para obter mais informações sobre como assinar um arquivo de script, consulte Set-AuthenticodeSignature.
O New-SelfSignedCertificate cmdlet, introduzido no módulo PKI no PowerShell 3.0, cria um certificado autoassinado apropriado para teste. Para obter mais informações, consulte o tópico de ajuda do cmdlet New-SelfSignedCertificate.
Para adicionar uma assinatura digital a um script, você deve assiná-la com um certificado de assinatura de código. Dois tipos de certificados são adequados para assinar um arquivo de script:
Certificados criados por uma autoridade de certificação: por uma taxa, uma autoridade de certificação pública verifica sua identidade e fornece um certificado de assinatura de código. Ao comprar seu certificado de uma autoridade de certificação respeitável, você poderá compartilhar seu script com usuários em outros computadores que executam o Windows porque esses outros computadores confiam na autoridade de certificação.
Certificados que você cria: você pode criar um certificado autoassinado para o qual o computador é a autoridade que cria o certificado. Esse certificado é gratuito e permite que você escreva, assine e execute scripts no computador. No entanto, um script assinado por um certificado autoassinado não será executado em outros computadores.
Normalmente, você usaria um certificado autoassinado apenas para assinar scripts que você escreve para seu próprio uso e para assinar scripts obtidos de outras fontes que você verificou serem seguros. Não é apropriado para scripts que serão compartilhados, mesmo dentro de uma empresa.
Se você criar um certificado autoassinado, certifique-se de habilitar uma forte proteção de chave privada em seu certificado. Isso impede que programas mal-intencionados assinam scripts em seu nome. As instruções são incluídas no final deste tópico.
Crie um certificado autoassinado
Para criar um certificado autoassinado, use o New-SelfSignedCertificate cmdlet no módulo PKI. Este módulo é introduzido no PowerShell 3.0 e está incluído em Windows 8 e Windows Server 2012. Para obter mais informações, consulte o tópico de ajuda para o New-SelfSignedCertificate cmdlet.
Para criar um certificado autoassinado em versões anteriores do Windows, use a ferramenta MakeCert.exeCriação de Certificado. Essa ferramenta está incluída no SDK do Microsoft .NET (versões 1.1 e posteriores) e no SDK do Microsoft Windows.
Para obter mais informações sobre a sintaxe e as descrições de parâmetro da ferramenta MakeCert.exe, consulte a Ferramenta de Criação de Certificados (MakeCert.exe).
Para usar a ferramenta MakeCert.exe para criar um certificado, execute os comandos a seguir em uma janela do Prompt de Comando do SDK.
Observação: o primeiro comando cria uma autoridade de certificação local para seu computador. O segundo comando gera um certificado pessoal da autoridade de certificação.
Observação: você pode copiar ou digitar os comandos exatamente como eles aparecem. Nenhuma substituição é necessária, embora você possa alterar o nome do certificado.
makecert -n "CN=PowerShell Local Certificate Root" -a sha1 `
-eku 1.3.6.1.5.5.7.3.3 -r -sv root.pvk root.cer `
-ss Root -sr localMachine
makecert -pe -n "CN=PowerShell User" -ss MY -a sha1 `
-eku 1.3.6.1.5.5.7.3.3 -iv root.pvk -ic root.cer
A ferramenta MakeCert.exe solicitará uma senha de chave privada. A senha garante que ninguém possa usar ou acessar o certificado sem o seu consentimento. Crie e insira uma senha que você possa lembrar. Você usará essa senha posteriormente para recuperar o certificado.
Para verificar se o certificado foi gerado corretamente, use o comando a seguir para obter o certificado no repositório de certificados no computador. Você não encontrará um arquivo de certificado no diretório do sistema de arquivos.
No prompt do PowerShell, digite:
Get-ChildItem cert:\CurrentUser\my -codesigning
Esse comando usa o provedor de Certificados do PowerShell para exibir informações sobre o certificado.
Se o certificado tiver sido criado, a saída mostrará a impressão digital que identifica o certificado em uma exibição semelhante ao seguinte:
Directory: Microsoft.PowerShell.Security\Certificate::CurrentUser\My
Thumbprint Subject
---------- -------
4D4917CB140714BA5B81B96E0B18AAF2C4564FDF CN=PowerShell User ]
Assinar um script
Depois de criar um certificado autoassinado, você pode assinar scripts. Se você usar a política de execução AllSigned , assinar um script permitirá que você execute o script em seu computador.
O script Add-Signature.ps1de exemplo a seguir assina um script. No entanto, se você estiver usando a política de execução AllSigned , deverá assinar o Add-Signature.ps1 script antes de executá-lo.
Importante
O script deve ser salvo usando a codificação ASCII ou UTF8NoBOM. Você pode assinar um arquivo de script que usa uma codificação diferente. Mas o script não é executado ou o módulo que contém o script não é importado.
Para usar esse script, copie o texto a seguir em um arquivo de texto e nomeie-o Add-Signature.ps1.
## Signs a file
param([string] $file=$(throw "Please specify a filename."))
$cert = @(Get-ChildItem cert:\CurrentUser\My -codesigning)[0]
Set-AuthenticodeSignature $file $cert
Para assinar o Add-Signature.ps1 arquivo de script, digite os seguintes comandos no prompt de comando do PowerShell:
$cert = @(Get-ChildItem cert:\CurrentUser\My -codesigning)[0]
Set-AuthenticodeSignature add-signature.ps1 $cert
Depois que o script for assinado, você poderá executá-lo no computador local. No entanto, o script não será executado em computadores nos quais a política de execução do PowerShell requer uma assinatura digital de uma autoridade confiável. Se você tentar, o PowerShell exibirá a seguinte mensagem de erro:
The file C:\remote_file.ps1 cannot be loaded. The signature of the
certificate cannot be verified.
At line:1 char:15
+ .\ remote_file.ps1 <<<<
Se o PowerShell exibir essa mensagem quando você executar um script que não escreveu, trate o arquivo como trataria qualquer script não assinado. Examine o código para determinar se você pode confiar no script.
Habilitar proteção de chave privada forte para seu certificado
Se você tiver um certificado privado em seu computador, programas mal-intencionados poderão assinar scripts em seu nome, o que autoriza o PowerShell a executá-los.
Para evitar a assinatura automatizada em seu nome, use o Gerenciador de Certmgr.exe Certificados para exportar seu certificado de assinatura para um .pfx arquivo. O Gerenciador de Certificados está incluído no SDK do Microsoft .NET, no SDK do Microsoft Windows e no Internet Explorer.
Para exportar o certificado:
- Iniciar o Gerenciador de Certificados.
- Selecione o certificado emitido pela Raiz do Certificado Local do PowerShell.
- Clique em Exportar para iniciar o Assistente de Exportação de Certificados.
- Selecione "Sim, exporte a chave privada" e clique em Avançar.
- Selecione "Habilitar proteção forte".
- Digite uma senha e digite-a novamente para confirmar.
- Digite um nome de arquivo que tenha a extensão de nome de arquivo .pfx.
- Clique em Concluir.
Para importar novamente o certificado:
- Iniciar o Gerenciador de Certificados.
- Clique em Importar para iniciar o Assistente de Importação de Certificado.
- Abra o local do arquivo .pfx que você criou durante o processo de exportação.
- Na página Senha, selecione "Habilitar forte proteção de chave privada" e insira a senha atribuída durante o processo de exportação.
- Selecione o repositório de certificados pessoal.
- Clique em Concluir.
Impedir que a assinatura expire
A assinatura digital em um script é válida até que o certificado de autenticação expire ou contanto que um servidor de carimbo de data/hora possa verificar se o script foi assinado enquanto o certificado de autenticação era válido.
Como a maioria dos certificados de assinatura são válidos apenas por um ano, o uso de um servidor de carimbo de data/hora garante que os usuários possam usar seu script por muitos anos.