Introduktion
Som en førende certifikatmyndighed (CA) og en tillidsservicevirksomhed prioriterer vi sikkerheden og troværdigheden af vores digitale certifikater og vores identitetsvalideringsprocedurer. Denne vejledning er fokuseret på vores brandede forhandlerpartnere, som har underordnede certifikatmyndigheder lænket til SSL.com's betroede rod (omtalt som "subCA'er") og er ansvarlige for at indsamle valideringsbeviser, indsende det til vores registreringsmyndighedsportal og lette udstedelsen af certifikater fra de partner-brandede subCA'er, der administreres af SSL.com. Formålet med denne vejledning er at sikre integriteten og sikkerheden af processen med indsendelse af valideringsbeviser og certifikatets livscyklus, for forhandlere har ikke direkte adgang til rodmateriale og kan kun interagere med certifikatlivscyklusoperationer gennem en udpeget API eller via en konto i registreringsmyndighedens (RA) portal administreret af SSL.com.
Sikker indsamling af valideringsbeviser for udvidede, organisations- og individuelle valideringstyper
-
Dataminimering: Indsaml kun det nødvendige valideringsbevis, der kræves til certifikatudstedelsesprocessen. Undgå at indsamle uvedkommende eller følsomme oplysninger.
-
Sikker indsamlingsmetoder: Brug sikre kanaler, såsom krypterede formularer eller portaler, når du indsamler valideringsbeviser fra slutbrugere.
-
Adgangskontrol: Implementer strenge adgangskontroller for at indsamle valideringsbeviser. Kun autoriseret personale bør have adgang, og multi-faktor autentificering bør være obligatorisk.
-
Dataintegritet: Sørg for, at valideringsbeviset forbliver uændret under indsamlingsprocessen.
-
Domænekontrolvalidering: Brug domænekontrolvalideringstjenester og -metoder strengt leveret af SSL.com.
Sikker indsendelse af valideringsbeviser til root-CA
-
API-sikkerhed: Brug altid den udpegede API til at indsende valideringsbevis. Sørg for, at API-kald foretages over sikre kanaler, såsom HTTPS.
-
Portaluploads: En anden sikker metode til indsendelse af beviser er at uploade beviser direkte til den relaterede ordre, du vil se på din SSL.com-konto; vær sikker på, at du kun uploader beviser relateret til den specifikke ordre.
-
Regelmæssige revisioner: Udfør regelmæssige revisioner af indsendelseslogfiler for at sikre, at der ikke foretages uautoriserede indsendelser.
-
Hændelsesrespons: Hav en klar hændelsesplan for eventuelle uoverensstemmelser eller brud i indsendelsesprocessen. Underrette roden CA hvis der opdages uregelmæssigheder.
Bedste praksis for brug af Certificate Lifecycle Operations API
-
API-nøglestyring: Beskyt dine API-nøgler. Opbevar dem sikkert, roter dem med jævne mellemrum, og udsæt dem aldrig i kode på klientsiden eller offentlige lagre.
-
Satsbegrænsende: Vær opmærksom på eventuelle hastighedsbegrænsninger på API'et for at undgå utilsigtede serviceafbrydelser.
-
Overvågning og logning: Overvåg alle API-aktiviteter. Vedligehold detaljerede logfiler og gennemgå dem regelmæssigt for mistænkelige eller uautoriserede aktiviteter.
-
Fejlhåndtering: Implementer robuste fejlhåndteringsmekanismer. I tilfælde af fejl eller uoverensstemmelser i API-svarene, skal du have en klar procedure til at løse dem.
Vedligeholdelse af en sikker hjemmeside
-
Passende TLS Serverkonfiguration: Sørg for, at serveren kun understøtter stærke kryptografiske koder og protokoller. Opdater og patch regelmæssigt serveren for at forhindre kendte sårbarheder.
-
Operativsystem hærdning: Minimer antallet af tjenester, der kører på serveren, anvend sikkerhedsrettelser med det samme, og brug sikkerhedskonfigurationer til at reducere angrebsoverfladen.
-
Almindelige webstedssårbarheder: Scan regelmæssigt for og adresser sårbarheder såsom SQL-injektion, Cross-Site Scripting (XSS) og Cross-Site Request Forgery (CSRF).
-
Oprethold korrekt adgangskodesundhed: Sørg for, at adgangskoder er komplekse og indeholder en blanding af store og små bogstaver, tal og specialtegn. Tilskynd dem med adgang til dine servere eller CRM til at opdatere deres adgangskoder regelmæssigt og undgå at genbruge adgangskoder fra andre websteder. Implementer multi-factor authentication (MFA) eller brug clientAuth-certifikater.
CA/B Forum netværks- og certifikatsystemers sikkerhedskrav
-
Kvartalsvise sårbarhedsscanninger: Udfør regelmæssige sårbarhedsscanninger hvert kvartal for at identificere og rette potentielle sikkerhedsproblemer.
-
Årlig penetrationstest: Deltag i årlige penetrationstest for at simulere potentielle angreb og identificere svage punkter i systemet.
-
Fremme sikkerhedskrav: Understreg vigtigheden af at overholde CA/B Forum netværks- og certifikatsystemers sikkerhedskrav for at opretholde tillid og sikkerhed.
Fremme af bedste praksis for slutbrugere med generering af private nøgler, lagring og CSRs
-
Uddanne om nøglegenerering: Guide slutbrugere til at bruge CA-godkendte værktøjer til at generere nøgler og CSRs. Dette sikrer kompatibilitet og sikkerhed.
-
Nøglelængde og algoritme: Råd slutbrugere til at bruge stærke kryptografiske algoritmer og passende nøglelængder (f.eks. RSA 2048-bit eller højere).
-
Adgangskontrol og multifaktorgodkendelse: Implementer strenge adgangskontroller og fremme brugen af multifaktorgodkendelse, især for handlinger, der udløser CA API-interaktioner som certifikatgenøgle, fornyelse og tilbagekaldelse.
Sikker opbevaring af private nøgler
-
Kontinuerlig nøglerotation: Regelmæssig nøglerotation minimerer mængden af eksponerede data, hvis en nøgle kompromitteres, og forkorter den tid, det tager en angriber at knække en nøgle.
-
Krypteret lagring og sikkerhedskopiering: Tilskynd til krypterede sikkerhedskopier af private nøgler, opbevaret sikkert og separat.
-
Tilbagekaldelse og nøgledestruktion: Fremhæv politikker hos dine slutbrugere, der muliggør hurtig og effektiv tilbagekaldelse, hvis en nøgle er kompromitteret eller ikke længere er nødvendig. Nøglen bør ikke bruges til kryptografiske operationer efter at være blevet tilbagekaldt og bør destrueres.
-
Indførelse af et nøglehierarki: Denne struktur skaber lag af kryptografiske nøgler, hver med forskellige niveauer af adgang og kontrol. Hovednøglen, som er i centrum af dette hierarki og er ekstremt sikker, bruges til at kryptere yderligere nøgler, som ofte omtales som "underordnet" eller "datakryptering."
-
At have en katastrofeberedskabsstrategi: Udvikle definerede handlinger, der skal tages såvel som ansvarlige parter i tilfælde af et større nøglekompromis eller nøgletab.
Tilliden til vores CA og vores mærkevareforhandlere er altafgørende. Ved at overholde disse omfattende bedste praksis kan vi sikre sikkerheden og integriteten af certifikatudstedelsesprocessen, beskytte brugerdata og bevare tilliden hos vores slutbrugere. Vi opfordrer alle vores forhandlere til at implementere denne praksis flittigt og kontakte os for yderligere vejledning eller afklaring.
