Yubikey FIPS-tokens vs Thales/Gemalto USB-tokens

SSL.com sender kodesigneringscertifikater, der er forudinstalleret på Yubikey FIPS-tokens og Thales SafeNet (Gemalto) USB tilkens. Begge er hardwareenheder, der bruges til sikker autentificering gennem kodesignering, processen med at bruge et X.509-certifikat til digitalt at signere et stykke kode, software eller anden eksekverbar på en måde, der sikrer, at produktet ikke er blevet manipuleret med eller på anden måde kompromitteret . Hver tilbyder unikke funktioner og fordele afhængigt af brugernes og organisationernes specifikke behov. Her er en detaljeret sammenligning af deres fordele og ulemper:

YubiKey-poletter

FORDELE

1. Alsidighed: YubiKey understøtter flere godkendelsesprotokoller, herunder FIDO U2F, FIDO2, Smart Card (PIV), OTP og mere, hvilket gør den meget alsidig til forskellige sikkerhedsbehov.
2. Brugervenlighed: YubiKeys er kendt for deres enkelhed, der kræver blot et tryk for at autentificere, hvilket forbedrer brugervenligheden uden at gå på kompromis med sikkerheden.
3. Holdbarhed: Flere Yubikey-modeller er knusnings- og vandafvisende, hvilket gør dem holdbare for brugere på farten.
4. Bred integration: YubiKey er bredt understøttet på tværs af forskellige platforme og tjenester, hvilket forbedrer dens anvendelighed for brugere, der har brug for multi-platform kompatibilitet.
5. Fjernattestering: SSL.com-kunder fra hvor som helst i verden kan generere et nøglepar på deres egen YubiKey og et attestationscertifikat, der beviser, at den private nøgle blev genereret på enheden. Attestationscertifikatet kan derefter bruges til at bestille kode- og dokumentsigneringscertifikater fra SSL.com, der kan installeres manuelt på YubiKey.

ULEMPER

1. Omkostninger: YubiKeys kan være dyrere sammenlignet med andre sikkerhedstokens, hvilket kan være en overvejelse for budgetbevidste virksomheder eller enkeltpersoner.
2. Fysisk enhed: Da den er en fysisk enhed, kan den blive tabt eller stjålet, hvilket kan udgøre en risiko, hvis den ikke administreres korrekt.
3. Begrænset lagerplads: Nogle YubiKey-modeller har begrænsninger på antallet af legitimationsoplysninger eller certifikater, de kan gemme sammenlignet med andre løsninger.
4. Begrænset RSA-nøglestørrelse: Yubikey-token er ikke i stand til at understøtte RSA-algoritmenøglestørrelser større end 2048 bit. Dette er en begrænsning for brugere, der ønsker at signere en kernetilstandsdriver og indsende den til Microsoft Hardware Lab Kit, som kræver en RSA-nøglestørrelse på mindst 3072 bit.

Thales SafeNet (Gemalto) Tokens 

FORDELE

1. Robuste sikkerhedsfunktioner: Thales SafeNet-tokens tilbyder avancerede sikkerhedsfunktioner, herunder manipulationssikker hardware, hvilket gør dem velegnede til miljøer, der kræver strenge sikkerhedsforanstaltninger.
2. Fleksible løsninger: Thales SafeNet leverer en række tokens inklusive USB-tokens og smart cards, der imødekommer forskellige brugerpræferencer og behov.
3. Stærkt virksomhedsfokus: Thales SafeNet-tokens er designet med virksomhedsmiljøer i tankerne og tilbyder omfattende administrationsværktøjer, der letter implementeringer og administration i stor skala.
4. Kernel Mode Signing: Thales SafeNet Tokens kan håndtere RSA-nøgler i 3072 bit, hvilket er påkrævet for Kernel Mode-signering. Dette kan muligvis i fremtiden, men i øjeblikket tillader Microsoft kun login i drivertilstand på RSA ved hjælp af Gemalto-tokenet. Microsoft tillader i øjeblikket ikke at logge på ECC.

ULEMPER

1. Kompleksitet: De yderligere sikkerheds- og administrationsfunktioner kan føre til en stejlere indlæringskurve og mere komplekse implementeringsprocesser.
2. Omkostninger: I lighed med YubiKey kommer avancerede funktioner og robuste sikkerhedsforanstaltninger til en højere pris, hvilket måske ikke er ideelt for alle brugere.
3. Ikke-understøttelse af fjernattestering: Brugere, der leder efter fjernattesteringsfunktioner, skal muligvis overveje andre produkter, der specifikt tilbyder denne funktion.
4. Fysiske enhedsrisici: Som enhver fysisk token er der altid en risiko for tab eller skade, hvilket potentielt kan føre til adgangsproblemer eller sikkerhedsbrud.
5. Softwareafhængighed: Nogle funktioner kan kræve specifik software eller styringsløsninger, som kan introducere afhængigheder og potentielle kompatibilitetsproblemer.
6. Batteriafhængige modeller: Nogle af de avancerede tokens kræver muligvis et batteri, som tilføjer et vedligeholdelseselement.

Resumé

SSL.com sender kodesigneringscertifikater, der er forudinstalleret på Yubikey FIPS-tokens og Thales SafeNet tilkens. Begge giver robust sikkerhed for digitale certifikater og autentificeringsprocesser. Valget mellem de to afhænger ofte af specifikke behov såsom budgetbegrænsninger, nødvendige sikkerhedsniveauer, platformskompatibilitet og brugervenlighed. YubiKey kan være mere velegnet til brugere, der søger en enkel, alsidig og brugervenlig løsning på tværs af flere platforme, mens Thales SafeNet-tokens kan være valget for organisationer, der har brug for meget sikre, tilpasselige og virksomhedsfokuserede løsninger.

Da både Yubikey og Thales SafeNet tokens er fysiske enheder, er der risiko for, at disse går tabt eller stjålet, hvilket introducerer alvorlige sikkerhedssårbarheder og kan føre til dyre udskiftninger. I forbindelse med moderne fjernarbejde udgør styring af distribution og vedligeholdelse af disse hardware-tokens betydelige logistiske forhindringer for it-teams, hvilket involverer betydelige udgifter og arbejdskraft. Men de mangler bekvemmeligheden ved cloud-baserede løsninger, især når det kommer til samarbejde mellem udviklere.

I sidste ende sigter begge muligheder på at forbedre sikkerheden uden at hæmme brugeroplevelsen væsentligt, og beslutningen bør stemme overens med organisationens sikkerhedsstrategi og driftskrav.

eSigner: Cloud Signing som et alternativ til tokens

Digital signering som en tjeneste er en moderne og effektiv metode til håndtering af digitale signaturer, eksemplificeret ved SSL.coms eSigner cloud-signeringstjeneste, som letter både kode- og dokumentsignering. eSigner administrerer den offentlige nøgleinfrastruktur (PKI) og hardwaresikkerhedsmoduler (HSM'er), der er nødvendige for sikker signering. Tjenesten gemmer sikkert ikke-eksporterbare signeringsnøgler i sine HSM'er, utilgængelige for både kunden og SSL.com, hvilket sikrer et sikkerhedsniveau, der kan sammenlignes med det, der leveres af fysiske tokens, uden besværet for kunderne.

For øget sikkerhed inkorporerer eSigner OAuthTOTP giver robust to-faktor-autentificering, der muliggør kode- og dokumentsignering fra enhver enhed med internetadgang, hvor som helst i verden. Det understøtter også EV-kodesignering, hvilket giver udviklere mulighed for at signere Windows 10-kernetilstandsdrivere.

Desuden forenkler eSigner processen med at dele signeringscertifikater blandt teammedlemmer gennem SSL.com-dashboardet. Dette gør det nemt for teammedlemmer at få adgang til certifikater, med hver enkelt tildelt en unik PIN-kode. Denne funktionalitet understøtter problemfrit og sikkert samarbejde for teams spredt på tværs af forskellige lokationer, hvilket sikrer høje sikkerhedsstandarder uden at ofre hastighed eller effektivitet i driften.

BEMÆRKPrivate nøgler til SSL-kodesigneringscertifikater kan ikke eksporteres, og certifikater kan ikke udstedes som .pfx-filer, der kan downloades. Certifikater skal genereres og gemmes ved hjælp af en godkendt sikkerhedsløsning, såsom et FIPS 140-2-valideret YubiKey USB-token, SSL's eSigner Cloud Signing Service eller en understøttet Cloud HSM.

For flere detaljer om eSigner, besøg vores dedikeret serviceside.