Ключово поколение и атестация с Yubikey

За целите на Подписване на EV код намлява Цифрови подписи на Adobe PDF, се изисква вашият личен ключ да бъде генериран по сигурен начин и да се съхранява на външно хардуерно устройство, потвърдено от FIPS, а не на вашия компютър. SSL.com по избор доставя сертификати за подписване на EV код и сертификати за подписване на PDF документи, предварително инсталирани USB токени за ключ за сигурност, валидиран от FIPS 140-2, но потребителите могат също да генерират двойка ключове на съществуващ YubiKey и an удостоверение за атестация което доказва, че частният ключ е генериран на устройството. След това сертификатът за атестация може да се използва за поръчка на сертификати от SSL.com, които могат да бъдат инсталирани ръчно на YubiKey.

Ето как ще ви преведе през:

• Генериране на a двойка ключове намлява удостоверение за атестация на вашия Yubikey
• Проверка атестационния сертификат и свързването му с SSL.com EV код за подписване или поръчка за подписване на PDF документ
• Инсталиране вашия нов сертификат в YubiKey

Стъпка 1: Генериране на ключова двойка в YubiKey

1. Ако вече не сте го направили, изтеглете и инсталирайте YubiKey мениджър от уебсайта на Yubico. Предлагат се версии за Windows, Linux и macOS.
   
2. Включете вашия YubiKey, след това стартирайте YubiKey Manager. Вашият YubiKey трябва да бъде показан в прозореца на YubiKey Manager.
   
3. Отидете до Приложения> PIV.
   
4. Щракнете върху Конфигурирайте сертификати бутон.
   
5. Изберете раздела за слота YubiKey, където искате да генерирате двойката ключове. Ако купувате сертификат за подписване на EV код, изберете заверка (каре 9а). За подписване на PDF документ изберете Цифров подпис (слот 9c). (Вижте Yubico's документация за повече информация за различните ключови слотове и техните предвидени функции; те се различават в своите правила за въвеждане на ПИН). Тук ще използваме слот 9a.
   
6. Щракнете върху Генериране бутон.
   
7. Изберете Заявка за подписване на сертификат (CSR), след което кликнете върху Напред бутон.
   
8. Изберете an алгоритъм от падащото меню. За подписване на документи изберете RSA2048. За подписване на EV код изберете ECCP256 or ECCP384.
   
9. Въведете Име на темата за сертификата, след това щракнете върху Напред бутон.
   
   Забележка: Всъщност няма да използваме това CSR—Генерира се като страничен продукт от създаването на нова двойка ключове. Така че, всъщност няма значение какво въвеждате тук за Името на темата.
   
   Потребителите трябва да поискат от SSL.com ново издаване, когато подават нова поръчка, издаването няма да се случи автоматично.
10. Щракнете върху Генериране бутон.
    
11. Изберете местоположение, за да запазите CSR файл, създайте име на файл, след което щракнете върху Save бутон.
    
12. Въведете своите YubiKey ключ за управление, след което щракнете върху OK, Ако имате нужда от вашия ключ за управление, моля, свържете се Support@SSL.com.
    
13. Въведете своя YubiKey PIN, след което щракнете върху OK, Ако имате нужда от помощ при намирането на вашия ПИН код, моля, вижте това как да.
    
14. - CSR файлът ще бъде запазен на мястото, което сте посочили в стъпка 11 по-горе. Отново, нямаме нужда от този файл, за да продължим и можете спокойно да го изтриете.
    

Стъпка 2: Генериране на сертификат за атестация

Всеки YubiKey идва предварително зареден с частен ключ и сертификат от Yubico, който ви позволява да генерирате удостоверение за атестация за да проверите дали е създаден частен ключ на YubiKey. Тази операция ще изисква да използвате командния ред.

1. В Windows отворете PowerShell като администратор. Потребителите на macOS и Linux трябва да отворят терминален прозорец на своето устройство.
   
2. Използвайте следната команда, за да отидете до файловете на YubiKey Manager:
   • Windows:

     cd "C:Program FilesYubicoYubiKey Manager"

   • MacOS:

     cd /Applications/YubiKey Manager.app/Contents/MacOS

   • В Linux (Ubuntu), ykman командата вече ще бъде инсталирана във вашия PATH, така че можете да пропуснете тази стъпка.
3. Генерирайте сертификат за атестация за ключа с командата по-долу (заменете ATTESTATION-FILENAME.crt с пътя и името на файла, които искате да използвате; ако сте използвали слот 9c, сменете 9a с 9c):
   • Windows:

     .ykman.exe piv ключове удостоверяват 9a ATTESTATION-FILENAME.crt

   • Linux (Ubuntu):

     ykman piv ключове удостоверяват 9a АТЕСТАЦИЯ-ИМЕ НА ФАЙЛ.crt

   • MacOS:

     ./ykman piv бутони удостоверяват 9a АТЕСТАЦИЯ-ИМЕ НА ИМЕ.crt

4. След това използвайте ykman команда за експортиране на междинен сертификат от слот f9 на YubiKey (заменете INTERMEDIATE-FILENAME.crt с пътя и името на файла, които искате да използвате):
   • Windows:

     .ykman.exe piv сертификати експортиране f9 МЕЖДИННО ИМЕ-ФАЙЛ.crt

   • Linux (Ubuntu):

     ykman piv сертификати експортиране f9 INTERMEDIATE-FILENAME.crt

   • MacOS:

     ./ykman piv сертификати износ f9 INTERMEDIATE-FILENAME.crt

Стъпка 3: Проверете удостоверението за удостоверяване с SSL.com и прикачете към поръчката

1. Тук ще използваме нашия сертификат за атестация от YubiKey слот 9а с поръчка на сертификат за подписване на EV код. (Процедурата за сертификати за подписване на документи е същата.) Първо отворете атестационните и междинните сертификати в текстов редактор.
   
2. Влезте в своя акаунт на SSL.com и отидете до Поръчки , след което кликнете върху детайли връзка за поръчката, която искате да свържете със сертификата за атестация. (Тази връзка ще се промени на Изтегли след издаване на сертификата ви.)
   
   Забележка: Ако искате да проверите валидността на сертификата си за атестация, без да го прикачвате към поръчка, можете да използвате SSL.com инструмент за проверка на атестация.
   
3. Щракнете върху управление на връзка, под удостоверяване.
   
4. Ще се появи нова страница с полета за атестация и междинни сертификати.
   
5. Поставете сертификата за атестация в Удостоверение за атестация поле, като не забравяйте да включите линиите -----BEGIN CERTIFICATE----- намлява -----END CERTIFICATE-----.
   
6. След това поставете междинния сертификат в Междинен сертификат поле.
   
7. Щракнете върху Изпрати бутон.
   
8. Ако всичко е тръгнало правилно, в горната част на екрана ще се появи зелен сигнал, който показва успешна атестация.
   
9. Върнете се към поръчката във вашия акаунт. Можете да проверите дали атестацията е добавена към поръчката чрез наличието на връзка с етикет Изтрий под удостоверяване.
   
10. След като SSL.com обработи вашата поръчка, сертификатът ще бъде наличен във вашия акаунт в SSL.com. От страницата с подробности за вашата поръчка превъртете надолу до СЕРТИФИКАТИ ЗА КРАЙНИ СУБЕКТИ и кликнете върху него Покажи детайли.
    
11. Превъртете надолу до подраздела с етикет Сертификат за подписване на код or Удостоверение за подписване на документ, в зависимост от вашата поръчка. Вдясно ще видите връзките за изтегляне на вашия сертификат.
    
    
    1. Ако имате Удостоверение за подписване на документ, Избери индивидуални сертификати опция за изтегляне. Това е zip файл, съдържащ три файла със сертификати: вашия сертификат за краен обект, междинен сертификат и основен сертификат.
       
    2. Ако имате Сертификат за подписване на код, Избери за инсталация YUBIKEY (DER).
       

Стъпка 4: Инсталирайте сертификат в YubiKey

1. Стартирайте YubiKey Manager и се насочете към Приложения> PIV.
   
2. Щракнете върху Конфигурирайте сертификати бутон.
   
3. Изберете раздела за същия слот YubiKey, където сте генерирали двойката ключове.
   
4. Щракнете върху внос бутон.
   
5. Придвижете се до вашия сертификат на крайния обект и щракнете върху внос бутон.
   
6. Въведете своите YubiKey ключ за управление, след което щракнете върху OK, Ако имате нужда от вашия ключ за управление, моля, свържете се Support@SSL.com.
   
7. Новият сертификат за подписване на EV код е инсталиран в YubiKey.
   
8. За да сте сигурни, че вашите цифрови подписи са надеждни на всички компютри, трябва също да инсталирате коренните и междинните сертификати на вашия YubiKey за пълна верига на доверие. Моля, следвайте тези инструкции за root и междинна инсталация: Инсталирайте коренни и междинни сертификати на SSL.com на YubiKey.