Сертифициращите органи като SSL.com наскоро повишиха стандартите за съхранение на ключове за сертификати за подписване на кодове, като сега изискват съхранението на частния ключ на сертификата или на физически USB токен, или на съвместим хардуерен модул за сигурност (HSM).
От 1 юни 2023 г. всички сертификати за подписване на код SSL.com престанаха да се издават като pfx файлове за изтегляне. Тази промяна е в съответствие с форума на сертифициращия орган/браузър (CA/B). нови ключови изисквания за съхранение за повишаване на сигурността на ключовете за подписване на код. Предишното правило позволяваше сертификатите за подписване на код за валидиране на организация (OV) и индивидуално валидиране (IV) да бъдат издавани като файлове за изтегляне. Тъй като новите изисквания позволяват използването само на криптирани USB токени или базирани на облак FIPS съвместими хардуерни устройства за съхраняване на сертификата и частния ключ, се очаква, че случаите на кражба на ключове за подписване на код и злоупотреба с тях от злонамерени участници ще бъдат значително намалени.
Въпреки че използването на USB токени представлява предизвикателство при интегрирането с модерни CI/CD тръбопроводи и управлението на физически HSM в офиса може да бъде тромаво, съществува ефективна алтернатива. Google Cloud предлага практично решение: наемане на един слот за ключ в тяхната HSM услуга. Този подход е не само рентабилен, но и съответства на най-новите стандарти за съответствие на FIPS 140-2 ниво 2, като същевременно елиминира необходимостта от управление на физическо устройство. Тази статия ще ви преведе през процеса на настройка на това средно решение.
Сертификати за подписване на EV код на SSL.com се ползват с доверие в целия свят за цифрово подписване на софтуерен код със защитени цифрови подписи.
Разбиране на процеса на подписване на код с облачен HSM
За да разберете същността на процедурата за подписване на код, използвайки базиран на облак хардуерен модул за сигурност (HSM), е полезно да разгледате компонентите:- Сертификат за подписване на код: Цифров сертификат, издаден от доверен сертифициращ орган (CA), който разработчиците на софтуер използват за цифрово подписване на своя софтуер, скриптове и изпълними файлове. Този сертификат служи като цифров подпис, който потвърждава самоличността на разработчика или издателя и гарантира, че кодът не е бил променен или компрометиран след първоначалното си подписване.
- Google Cloud: Предлага услуги, които поддържат сигурна разработка и внедряване на софтуер, включително инфраструктура за сигурно генериране и управление на криптографски ключове, използвани в процеса на подписване на код.
- Google Cloud HSM за защита на ключовете: надежден хардуерен модул за сигурност, разположен в инфраструктурата на Google Cloud, предназначен да защити вашия личен ключ срещу неоторизиран достъп.
- Инструмент за подписване: Софтуерно приложение или помощна програма, предназначена за цифрово подписване на софтуерни програми и приложения. Този цифров подпис гарантира на крайния потребител, че софтуерът не е бил променен или компрометиран, откакто е бил подписан от разработчика или издателя.
- Time Stamping Authority (TSA): доверена услуга на трета страна, обикновено управлявана от вашия Сертифициращ орган (CA), която има за задача да докаже, че кодът е бил подписан по време на периода на валидност на цифровия сертификат, използван за подписване, дори ако сертификатът по-късно изтича или се отменя.
Регистриране на акаунт в Google Cloud
Първата стъпка в конфигурирането на вашата настройка включва създаване на акаунт с Платформата Google Cloud. След като акаунтът ви е активен, е необходимо да създадете нов проект и активирайте таксуването. Предоставянето на вашата информация за плащане е необходимо, за да можете да продължите с настройката.Генерирайте вашата двойка ключове, CSR, и атестационна декларация
Преди да издаде сертификати за подписване на код или доверени от Adobe сертификати за подписване на документи, SSL.com изисква потвърждение, че частният ключ за подписване на клиента е генериран на и се съхранява сигурно в устройство, сертифицирано от FIPS 140-2 ниво 2 (или по-високо). Това устройство гарантира, че ключът не може да бъде извлечен и проверката на тази защита се нарича атестация. Облачният HSM на Google, използвайки устройства, произведени от Marvell (по-рано Cavium), е в състояние да генерира подписани изявления за удостоверяване за криптографски ключове. SSL.com може да потвърди тези изявления, преди да издаде сертификати за подписване на документи или кодове. За насоки относно генерирането на вашата двойка ключове и изявление за атестация, моля, направете справка с документацията на Google за управление на ключове в облак: След като имате вашата двойка ключове, CSR, и атестационната декларация е готова, изпратете ги на SSL.com за проверка и издаване на сертификат. The инструмент с отворен код от потребител на GitHub матове за създаване на CSR и подписването му с частен ключ от Google Cloud HSM може да бъде особено полезно. SSL.com начислява такса от $500.00 USD за Google Cloud HSM атестация. Освен това предоставяме различни ценови нива за сертификати, използвани в облачни HSM платформи, в зависимост от годишните максимални операции по подписване. За подробна информация за цените вижте нашия Cloud HSM Ценови нива напътства. Атестациите могат да се извършват с помощта на BYOA (Bring Your Own Auditor) метод, когато собственик на HSM избере атестация за генериране на ключове без услугите на SSL.com. Този метод е приложим за всяка церемония за генериране на ключове (KGC) на съвместим HSM, дори и тези, които не са обхванати от атестацията на SSL.com. BYOA изисква щателна подготовка, за да се избегне рискът от отхвърляне на ключ. Такива проблеми налагат повторение на церемонията, което води до допълнителни разходи и забавяния. За да предотвратят тези проблеми, специалистите по поддръжка на клиенти и валидиране на SSL.com проактивно напътстват клиентите пред KGC.Поръчайте своя сертификат за подписване на код
Всички сертификати за подписване на код SSL.com могат да бъдат закупени с продължителност от 1 до 3 години с отстъпки за по-дълги срокове, както и с удобството да се подлагате само на процес на валидиране веднъж за сертификати с по-голяма продължителност. Следната свързана статия описва как да поръчате сертификат за подписване на код и да навигирате в тези опции: Процес на поръчка за сертификати за подписване на кодове и документи. За персонализирани решения, отстъпки за голям обем, външни опции за HSM, официални котировки или за всякакви други насоки, моля, свържете се sales@ssl.com.Преминете процеса на проверка, за да получите своя сертификат
Освен генерирането на вашата двойка ключове, CSRи декларация за удостоверяване, SSL.com изисква конкретни документи и информация за регистрация, преди да можете да получите сертификат за подписване на код. Следната свързана статия описва процеса на проверка: Процес на валидиране за сертификати за подписване на документи, подписване на кодове и EV подписване на кодове.Сертификати за подписване на EV код на SSL.com се ползват с доверие в целия свят за цифрово подписване на софтуерен код със защитени цифрови подписи.
