Yubikey FIPS токени срещу Thales/Gemalto USB токени

SSL.com изпраща сертификати за подписване на код, които са предварително инсталирани на Yubikey FIPS токени и Thales SafeNet (Gemalto) USB къмkens. И двете са хардуерни устройства, използвани за сигурно удостоверяване чрез подписване на код, процес на използване на сертификат X.509 за цифрово подписване на част от код, софтуер или друг изпълним файл по начин, който гарантира, че продуктът не е бил манипулиран или компрометиран по друг начин . Всеки предлага уникални функции и предимства в зависимост от специфичните нужди на потребителите и организациите. Ето подробно сравнение на техните плюсове и минуси:

YubiKey токени

Предимства

1. Гъвкавост: YubiKey поддържа множество протоколи за удостоверяване, включително FIDO U2F, FIDO2, смарт карта (PIV), OTP и други, което го прави много гъвкав за различни нужди за сигурност.
2. Лесна употреба: YubiKeys са известни със своята простота, изискваща само едно докосване за удостоверяване, което подобрява удобството на потребителя, без да компрометира сигурността.
3. Издръжливост: Няколко модела Yubikey са устойчиви на смачкване и водоустойчивост, което ги прави издръжливи за потребители в движение.
4. Широка интеграция: YubiKey се поддържа широко в различни платформи и услуги, подобрявайки неговата полезност за потребители, които се нуждаят от мултиплатформена съвместимост.
5. Дистанционно удостоверяване: Клиентите на SSL.com от всяка точка на света могат да генерират двойка ключове на своя собствен YubiKey и сертификат за удостоверяване, който доказва, че частният ключ е генериран на устройството. Сертификатът за атестация може след това да се използва за поръчка на сертификати за код и подписване на документи от SSL.com, които могат да бъдат инсталирани ръчно на YubiKey.
6. Подписване в режим на ядрото: Фърмуерът на YubiKey 5.7.4 вече може да поддържа генериране на ключове RSA-3072 и RSA-4096. Това е предимство за потребители, които искат да подпишат драйвер в режим на ядрото и да го изпратят в Microsoft Hardware Lab Kit, който изисква минимален размер на RSA ключа от 3072 бита.
   
   Забележка: Клиентите трябва да потвърдят версията на фърмуера на YubiKey, преди да поръчат сертификат, който изисква 3072-битов RSA ключ, тъй като версиите на фърмуера на YubiKey преди 5.7.4 не поддържат RSA алгоритъм с размер на ключа, по-голям от 2048 бита. Клиентите могат да проверят версията на фърмуера, използвайки приложението Yubico Authenticator.

Недостатъци

1. Цена: YubiKeys могат да бъдат по-скъпи в сравнение с други токени за сигурност, което може да бъде съображение за бюджетни фирми или физически лица.
2. Физическо устройство: Тъй като е физическо устройство, то може да бъде изгубено или откраднато, което може да представлява риск, ако не се управлява правилно.
3. Ограничено съхранение: Някои модели на YubiKey имат ограничения за броя идентификационни данни или сертификати, които могат да съхраняват в сравнение с други решения.
4. Ограничен размер на ключ RSA: Токенът Yubikey не може да поддържа размер на ключ на RSA алгоритъм, по-голям от 2048 бита. Това е ограничение за потребители, които искат да подпишат драйвер за режим на ядрото и да го изпратят на Microsoft Hardware Lab Kit, който изисква минимален размер на RSA ключ от 3072 бита.

Токени Thales SafeNet (Gemalto). 

Предимства

1. Надеждни функции за сигурност: Токените Thales SafeNet предлагат разширени функции за сигурност, включително устойчив на манипулиране хардуер, което ги прави подходящи за среди, изискващи строги мерки за сигурност.
2. Гъвкави решения: Thales SafeNet предоставя набор от токени, включително USB токени и смарт карти, отговарящи на различни потребителски предпочитания и нужди.
3. Силен фокус върху предприятията: Токените на Thales SafeNet са проектирани с оглед на корпоративните среди, като предлагат обширни инструменти за управление, които улесняват широкомащабни внедрявания и управление.
4. Подписване в режим на ядрото: Токените Thales SafeNet могат да обработват RSA ключове с дължина 3072 бита, което е необходимо за подписване в режим на ядрото. 

Недостатъци

1. Сложност: Допълнителните функции за сигурност и управление могат да доведат до по-стръмна крива на обучение и по-сложни процеси на внедряване.
2. Цена: Подобно на YubiKey, разширените функции и стабилните мерки за сигурност са на по-висока цена, което може да не е идеално за всички потребители.
3. Липса на поддръжка за дистанционно удостоверяване: Потребителите, които търсят функции за дистанционно удостоверяване, може да се наложи да обмислят други продукти, които конкретно предлагат тази възможност.
4. Рискове, свързани с физическото устройство: Като всеки физически токен, винаги има риск от загуба или повреда, което потенциално води до проблеми с достъпа или пробиви в сигурността.
5. Софтуерна зависимост: Някои функционалности може да изискват специфичен софтуер или решения за управление, което може да доведе до зависимости и потенциални проблеми със съвместимостта.
6. Модели, зависещи от батерията: Някои от усъвършенстваните токени може да изискват батерия, което добавя елемент за поддръжка.

Oбобщение

SSL.com изпраща сертификати за подписване на код, които са предварително инсталирани на Yubikey FIPS токени и Thales SafeNet да сеkens. И двете осигуряват стабилна сигурност за цифрови сертификати и процеси на удостоверяване. Изборът между двете често зависи от специфични нужди като бюджетни ограничения, необходими нива на сигурност, съвместимост на платформата и удобство за потребителите. YubiKey може да е по-подходящ за потребители, които търсят просто, гъвкаво и лесно за използване решение в множество платформи, докато токените на Thales SafeNet могат да бъдат изборът за организации, нуждаещи се от изключително сигурни, персонализирани и фокусирани върху предприятието решения.

Тъй като и Yubikey, и Thales SafeNet токените са физически устройства, съществува риск те да бъдат изгубени или откраднати, което въвежда сериозни уязвимости в сигурността и може да доведе до скъпи замени. В контекста на съвременната дистанционна работа, управлението на разпространението и поддръжката на тези хардуерни токени представлява значителни логистични пречки за ИТ екипите, включващи значителни разходи и работна сила. Въпреки това им липсва удобството на решенията, базирани на облак, особено когато става въпрос за сътрудничество между разработчиците.

В крайна сметка и двете опции имат за цел да подобрят сигурността, без да възпрепятстват значително потребителското изживяване, и решението трябва да съответства на стратегията за сигурност на организацията и оперативните изисквания.

eSigner: Облачно подписване като алтернатива на токените

Цифровото подписване като услуга е модерен и ефективен метод за управление на цифрови подписи, илюстриран от услугата за подписване в облак eSigner на SSL.com, която улеснява подписването както на код, така и на документ. eSigner управлява инфраструктурата на публичния ключ (PKI) и хардуерни модули за сигурност (HSM), необходими за сигурно подписване. Услугата съхранява сигурно неподлежащи на експорт ключове за подписване в своите HSM, недостъпни както за клиента, така и за SSL.com, като гарантира ниво на сигурност, сравнимо с това, осигурено от физически токени, без проблеми за клиентите.

За повишена сигурност eSigner включва OAuthTOTP за осигуряване на стабилна двуфакторна автентификация, позволяваща подписване на код и документ от всяко устройство с достъп до интернет, навсякъде по света. Той също така поддържа подписване на EV код, което позволява на разработчиците да подписват драйвери за режим на ядрото на Windows 10.

Освен това eSigner опростява процеса на споделяне на сертификати за подпис между членовете на екипа чрез таблото за управление на SSL.com. Това улеснява достъпа на членовете на екипа до сертификати, като на всеки индивид е присвоен уникален ПИН код. Тази функционалност поддържа безпроблемно и сигурно сътрудничество за екипи, разпределени на различни места, като гарантира високи стандарти за сигурност, без да се жертва скоростта или ефективността на операциите.

ЗАБЕЛЕЖКАЧастните ключове за SSL сертификати за подписване на код не могат да бъдат експортирани и сертификатите не могат да бъдат издавани като .pfx файлове за изтегляне. Сертификатите трябва да бъдат генерирани и съхранявани с помощта на одобрена опция за сигурност, като например валидиран по FIPS 140-2 YubiKey USB токен, SSL eSigner Cloud Signing Service или поддържан Cloud HSM.

За повече подробности относно eSigner посетете нашия специална страница за обслужване.