Sounds like revoking that cert would cause a large amount of existing software to stop installing, possibly stop running. That would cause a considerable amount of disruption in itself. What is the best decision for one security concern is not necessarily the best for another.<div>
<br></div><div>There are multiple code signing schemes in use with little consistency between them. Ideally code signing should sign the code itself but in many cases only signs the distribution. Ideally it should be possible to revoke individual signatures but in practice the signer has to be revoked.</div>
<div><br></div><div>It would be a lot better if we could get the platform providers to all agree on a single approach and apply it consistently but this has not occurred.<br><div><br><br><div class="gmail_quote">On Mon, Oct 1, 2012 at 4:30 PM, Lee Fisher <span dir="ltr"><<a href="mailto:blibbet@gmail.com" target="_blank">blibbet@gmail.com</a>></span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">FYI<br>
<br>
-------- Original Message --------<br>
Subject: [DC206] Adobe code-signing cert compromised from an HSM<br>
Date: Mon, 1 Oct 2012 12:13:43 -0700<br>
From: Duane Blanchard <<a href="mailto:dblanchard@gmail.com" target="_blank">dblanchard@gmail.com</a>><br>
To: <a href="mailto:list@dc206.org" target="_blank">list@dc206.org</a><br>
<br>
One of Adobe's code-signing certs was compromised from a physically<br>
secure HSM last week. The cert was used, among other things, to sign a<br>
Windows utility that dumped Windows password hashes.<br>
<br>
"Adobe plans to revoke the certificate on October 4 for all software<br>
code signed after July 10, 2012. Adobe is in the process of issuing<br>
updates signed using a new digital certificate for all affected<br>
products."<br>
<br>
I'm curious what prevents Adobe from revoking the cert immediately.<br>
Also, the security advisory below gives the "MD5 hash of [the] file<br>
with [the] signature removed." I don't see how the signature could be<br>
removed, even when one holds the secret key. Could someone please<br>
explain that?<br>
<br>
Adobe's blog post on it:<br>
<a href="http://blogs.adobe.com/asset/2012/09/inappropriate-use-of-adobe-code-signing-certificate.html" target="_blank">http://blogs.adobe.com/asset/<u></u>2012/09/inappropriate-use-of-<u></u>adobe-code-signing-<u></u>certificate.html</a><br>

<br>
Adobe's security advisory on it:<br>
<a href="http://www.adobe.com/support/security/advisories/apsa12-01.html" target="_blank">http://www.adobe.com/support/<u></u>security/advisories/apsa12-01.<u></u>html</a><br>
<br>
Thanks,<br>
<br>
Duane<br>
<br>
<br>
<br>
<br>
</blockquote></div><br><br clear="all"><div><br></div>-- <br>Website: <a href="http://hallambaker.com/">http://hallambaker.com/</a><br><br>
</div></div>