Vydávání digitálních certifikátů pro Extended Validation Code Signing popř Adobe Document Signing vyžaduje gvložení klíče s určitými bezpečnostními vlastnostmi. Když je klíč vygenerován, musí být označen jako „citlivý“ (to znamená, že klíč nemůže být zobrazen jako prostý text) a co je důležitější, neexportovatelný (nelze jej odhalit, i když je zašifrován) z HSM. Pro tento postup existuje několik cest, jako je získání bezpečného tokenu z SSL.com s předinstalovanými certifikáty. Tento článek se zaměřuje na případ, kdy se klienti rozhodnou používat svůj vlastní fyzický HSM nebo cloudový HSM účet a zaměstnávají kvalifikovaného profesionála dle vlastního výběru, aby potvrdil řádné provedení tohoto procesu.
Co je atestace?
Než SSL.com může podepsat a vydat Podepisování kódu EV nebo certifikáty Adobe-Trusted Document Signing, musíme nejprve získat důkaz, že soukromý podpisový klíč zákazníka byl vygenerován a je bezpečně uložen v zařízení s certifikací FIPS 140-2 Level 2 (nebo vyšší), ze kterého jej nelze exportovat. Akt prokázání, že soukromý klíč splňuje tyto požadavky, je známý jako potvrzení. Přesné postupy pro ověřování soukromých klíčů se u různých zařízení a cloudových výpočetních platforem liší.
Některé služby, např Google Cloud HSM, poskytují vzdálené ověření vydáním jedinečného certifikátu pro každý použitý HSM, který v kombinaci s jedinečným certifikátem vydaným výrobcem HSM stačí k poskytnutí jistoty, že vygenerovaný klíč má požadované atributy a je v souladu s PKCS #11. Takové potvrzení je považováno za dostatečný důkaz pro SSL.com k zajištění způsobilosti klíče.
Existují však služby, zejména AWS, které neposkytují vzdálené ověření klíče. V tomto případě se atestace provádí manuálním postupem, který se nazývá Key Generation Ceremony (KGC). KGC vyžaduje ověření od auditora, který je vysoce kvalifikovaný v oboru. Klient může využít interního odborníka ze SSL.com, ale může se také rozhodnout využít nezávislého profesionála dle vlastního výběru. To se nazývá Bring Your Own Auditor (BYOA). Aby bylo zajištěno, že proces poskytuje odpovídající validaci, je třeba kontrolovat následující pole:
- Způsobilost vybraného profesionála (auditora), který poskytne řádnou KGC
- Proces přípravy a realizace KGC
- Minimální požadavky, které by měl auditor kontrolovat a hlásit
Proces KGC: Příprava a pokyny
BYOA je platnou alternativou pro klienty, ale vyžaduje důkladnou přípravu, jinak existuje značné riziko zamítnutí vygenerovaného klíče. K tomu může dojít, pokud použité zařízení není v souladu, auditor není kvalifikovaný nebo zpráva auditora nepokrývá požadavky procesu. V takovém případě se obřad a jeho svědectví musí opakovat, což klientovi přináší další náklady a zpoždění.
Aby se takovým scénářům předešlo, komunikuje zákaznická podpora a/nebo specialisté na ověřování SSL.com se zákazníkem před KGC, aby mu poskytli pokyny a zajistili následující:
- Auditor je schválen podle kritérií popsaných níže
- Požadavky na přípravu obřadu i scénář obřadu jsou jasné a důsledně dodržovány, takže prostředí KGC je dobře připraveno
- Jakákoli omezení a/nebo podmínky specifické pro BYOA jsou jasné a zákazník je přijímá
Způsobilost auditora KGC
Zákazníci požadující certifikáty EV Code Signing nebo Adobe-Trusted Document Signing mohou předložit žádost o podpis certifikátu (CSR) a potvrzení od nezávislého profesionála (BYOA), že pár klíčů byl vygenerován a uložen ve schváleném HSM, ve schváleném provozním prostředí a v souladu se všemi atributy PKCS #11.
SSL.com nastavil řadu kritérií k zajištění kompetence a etiky profesionála, kterého si klient vybere. Tato kritéria, která se také používají k hodnocení a schvalování přidružených auditorů SSL.com, jsou zavedena pro zajištění bezpečnosti a shody podpisového produktu (EV Code Signing nebo certifikát Adobe-Trusted Document Signing).
Kritéria, která jsou zvažována pro přijetí nebo zamítnutí certifikace od auditora, jsou:
- Technická způsobilost: Auditor musí mít kvalifikaci v oblasti digitální certifikace a kybernetické bezpečnosti
- Auditorská kompetence: Auditor musí prokázat kvalifikaci své auditorské způsobilosti prostřednictvím příslušné osobní certifikace nebo odborné způsobilosti (např. auditor Webtrust/ETSI, Cloud Security Alliance CCAK).
- Etika: Kontrola, zda existuje závazný etický kodex, např. jako součást certifikace auditora.
- Schopnost ověřit výše uvedené informace auditora: Kontrola proti veřejnému zdroji (např. rejstříku auditorů) k ověření certifikace.
Tato kritéria před přijetím kontrolují specialisté na ověřování SSL.com. SSL.com udržuje seznam certifikací schválených BYOA pro výše uvedená kritéria spolu se seznamem přidružených auditorů pro pohodlí klientů.
Tyto informace jsou zákazníkovi sděleny během přípravné fáze. Pro více informací prosím kontaktujte support@ssl.com.
Požadavky na atestaci KGC
Přípravná fáze je zásadní, aby se předešlo nehodám při obřadu, které by mohly vést k dalším nákladům a zpožděním. Péče o zákazníky na SSL.com zajišťuje, že všechny požadavky na audit jsou sděleny jak zákazníkovi, tak kvalifikovanému auditorovi před výběrem scénáře obřadu. Jako další pomoc připravil SSL.com materiál na podporu AWS Cloud HSM, jako jsou požadavky na přípravu obřadu a skript obřadu, které jsou k dispozici po kontaktování support@ssl.com během přípravné fáze.
Klient se může rozhodnout vytvořit svůj vlastní skript prostřednictvím kvalifikovaného auditora (QA), ale v tomto případě důrazně doporučujeme, aby byl scénář před použitím zkontrolován a schválen našimi vlastními inženýry.
V každém případě musí kvalifikovaný auditor osobně ověřit a potvrdit následující, pokud jde o ceremoniál generování soukromého klíče:
- Materiál soukromého klíče byl vytvořen v HSM kompatibilním s alespoň FIPS 140-2 Level 2 a pracuje alespoň v režimu FIPS 140-2 Level 2.
- HSM a firmware použité při obřadu byly originální a verze firmwaru není spojena s žádnými známými chybami zabezpečení
- Software použitý pro ceremonii byl oficiální software HSM poskytnutý výrobcem a jeho integrita byla ověřena QA
- Veškerá komunikace s HSM během procesu generování klíče byla šifrována a vzájemně ověřena pomocí kryptografických prostředků
- Materiál soukromého klíče byl vytvořen uvnitř HSM a nebyl importován
- Materiál soukromého klíče není označen jako extrahovatelný (atribut PKCS #11 „CKA_EXTRACTABLE/CKA_EXPORTABLE“) a nikdy nebyl.
- Materiál soukromého klíče je označen jako citlivý (atribut PKCS #11 „CKA_SENSITIVE“) a vždy tomu tak bylo.
- Přístup k vygenerovanému klíčovému materiálu vyžaduje ověření uživatele
- QA byl přítomen, sledoval všechny procesy obřadu a nebylo žádné podezření ani důkaz o nečestné hře.
Kromě výše uvedených požadavků QA potvrzuje, že provozní prostředí předplatitele dosahuje úrovně zabezpečení přinejmenším rovnocenné úrovni FIPS 140-2 úrovně 2.
Proč investovat do čističky vzduchu?
BYOA je platnou a užitečnou alternativou pro případy, kdy pro certifikáty Extended Validation Code Signing a Adobe Approved Trust List není k dispozici vzdálené ověření. SSL.com zajišťuje, že zákazníci jsou na postup důkladně připraveni a v případě, že tuto možnost využijí, je jim poskytnuta špičková podpora.
