Инсталирайте коренни и междинни сертификати на SSL.com на YubiKey

Това ръководство ще ви покаже как да използвате Yubico ykman помощна програма за команден ред за инсталиране на SSL.com междинни и коренни сертификати на YubiKey със SSL.com Подписване на EV код or Бизнес идентичност сертификат. Тази процедура може да е необходима, за да се избегнат грешки при доверие с подписани документи и код на някои компютри.

1. Изтеглете и инсталирайте YubiKey мениджър от уебсайта на Yubico. Предлагат се версии за Windows, Linux и macOS. В това ръководство няма да използваме самия мениджър YubiKey, а по-скоро ykman помощна програма, която ще бъде инсталирана с него.
   
2. Изтеглете подходящите основни и междинни сертификати SSL.com за вашия сертификат за подписване на документ или сертификат за подписване на EV код. Ако вашият сертификат е бил изпратен на USB токен с валидиран ключ за сигурност FIPS 140-2 от SSL.com, той ще има ECDSA ключ. За сертификат, който е регистриран в услугата за подписване на облачен код на SSL.com eSigner, той ще има RSA ключ. Разгледайте нашите специална страница за eSigner, за да научи повече.
   • Подписване на документи (RSA):
     • SSL.com Основен сертифициращ орган RSA
     • SSL.com Клиентски сертификат Междинен CA RSA R2
   • Подписване на документи (ECDSA):
     • SSL.com EV Основен сертифициращ орган ECC
     • Клиентски сертификат Междинен CA ECC R2
   • Подписване на EV код (RSA):
     • SSL.com EV Основен сертифициращ орган RSA R2
     • SSL.com EV код за подписване междинен CA RSA R3
   • Подписване на EV код (ECDSA):
     • SSL.com EV Основен сертифициращ орган ECC
     • SSL.com EV код за подписване Междинен CA ECC R2
3. Използвайте следната команда, за да отидете до файловете на YubiKey Manager:
   • Windows:

     cd "C:\Program Files\Yubico\YubiKey Manager"

   • MacOS:

     $ cd / Applications / YubiKey Manager.app/Contents/MacOS

   • В Linux (Ubuntu), ykman командата вече ще бъде инсталирана във вашия PATH, така че можете да пропуснете тази стъпка.
4. Използвайте тези команди, за да инсталирате основните и междинните сертификати, които сте изтеглили в стъпка 2, в слотове 82 и 83 на вашия YubiKey. Заменете стойностите в ALL-CAPS с пътищата до изтеглените от вас сертификати. Обърнете внимание, че текстът .pem трябва да бъдат включени в името на файла. Ако бъдете подканени да въведете ключа за управление след въвеждане на командата, поставете стойността на вашия ключ за управление. Можете да използвате ключ за управление по подразбиране в случай, че не сте го променили. (Ако трябва да инсталирате повече от root или междинен, можете да използвате всеки YubiKey слот от 82 до 95.)
   • Windows:

     ./ykman.exe piv сертификат за импортиране 82 "PATH\TO\ROOT\CERTIFICATE.pem" ./ykman.exe piv сертификат за импортиране 83 "PATH\TO\INTERMEDIATE\CERTIFICATE.pem

   • MacOS:

     $ ./ykman piv import-certificate 82 /PATH/TO/ROOT/CERTIFICATE.pem -m MANAGEMENT-KEY $ ./ykman piv import-certificate 83 /PATH/TO/INTERMEDIATE/CERTIFICATE.pem -m MANAGEMENT-KEY

   • Linux (Ubuntu):

     $ ykman piv import-certificate 82 /PATH/TO/ROOT/CERTIFICATE.pem -m MANAGEMENT-KEY $ ykman piv import-certificate 83 /PATH/TO/INTERMEDIATE/CERTIFICATE.pem -m MANAGEMENT-KEY
     

5. ykman няма да изведе никакви изводи, които да ви уведомят кога е инсталиран сертификатът, но можете да потвърдите инсталирането с ykman export-certificate. Например следните команди ще покажат текстов формат на сертификата в слот 82 към стандартния изход. За допълнителна проверка можете да отворите изтеглените основни и междинни сертификати с помощта на текстов редактор като Notepad и сравнете дали те са еднакви с текстовата версия, показана след въвеждане на командата на ykman.
   • Windows:

     .\ykman.exe piv експорт на сертификати 82 -

   •  MacOS:

     ./ykman piv сертификат за износ 82 -

   • Linux (Ubuntu):

     ykman piv сертификат за износ 82 -

6. След като инсталирате тези сертификати на вашия YubiKey, вашият код и / или документи ще бъдат подписани с пълна верига на доверие, така че няма да изпитвате проблеми с доверието на компютри, на които липсва междинното в техните хранилища за доверие. Имайте предвид, че може да се наложи да изключите YubiKey от вашия компютър и да го свържете отново, за да влязат в сила промените при подписване.

ЗАБЕЛЕЖКАЧастните ключове за SSL сертификати за подписване на код не могат да бъдат експортирани и сертификатите не могат да бъдат издавани като .pfx файлове за изтегляне. Сертификатите трябва да бъдат генерирани и съхранявани с помощта на одобрена опция за сигурност, като например валидиран по FIPS 140-2 YubiKey USB токен, SSL eSigner Cloud Signing Service или поддържан Cloud HSM.