Mit Wirkung vom 1. Juni 2023 hat SSL.com seine Schlüsselspeicherprotokolle für Code Signing-Zertifikate aktualisiert und die Option zum Erhalt von Code Signing-Zertifikaten im PFX-Format eingestellt. Dies geschah, um den vom Certificate Authority/Browser (CA/B) Forum veröffentlichten Richtlinien zu entsprechen. Diese verlangen, dass die privaten Schlüssel von Code Signing-Zertifikaten in verschlüsselten Geräten (z. B. Token), FIPS-konformen Hardware-Sicherheitsmodulen (HSMs) vor Ort oder über Cloud-basierte HSM-Dienste gesichert werden.
Unter den unterstützten Cloud-HSM-Optionen sticht Microsoft Azure Key Vault (Premium Tier) als robuste Wahl für die Speicherung privater Schlüssel und die Generierung von Zertifikatsignieranforderungen hervor (CSRs).
Um Azure Key Vault (Premium-Stufe) zu verwenden, müssen Benutzer eine Zertifikatsignieranforderung erstellen (CSR), die als offizielle Einreichung für SSL.com zur Ausstellung eines Codesignaturzertifikats dient. Vor einem CSR wird zum Ausstellen eines Zertifikats verwendet, eine Zertifizierungsstelle wie SSL.com muss überprüfen, ob der private Schlüssel die Grundlage für die in der Anfrage verwendete Verschlüsselung bildet und auf einem zertifizierten Gerät erstellt und sicher gespeichert wurde, das den Standards FIPS 140-2 Level 2 (oder höher) entspricht und vor Schlüsselexport geschützt ist. Diese Überprüfung erfolgt durch einen Beglaubigungsprozess, der entweder von einem vom Registranten benannten qualifizierten Sicherheitsbeauftragten oder durch einen von SSL.com bereitgestellten Beglaubigungsdienst durchgeführt werden kann.
In den folgenden Abschnitten finden Sie Anweisungen dazu, wie Kunden eine CSR und unterziehen sich der Zeremoniengottesdienst durchgeführt vom Expertenteam von SSL.com.
SSL.com als Auditor
Sie können SSL.com gegen eine Gebühr als Prüfer beauftragen. Für weitere Informationen wenden Sie sich bitte an das Vertriebsteam von SSL.com über sales@ssl.com
Bringen Sie Ihren eigenen Auditor (BYOA)
Kunden können einen qualifizierten Prüfer beauftragen, der bestätigt, dass die privaten Schlüssel generiert und auf einem konformen Hardware-Sicherheitsmodul (HSM) gespeichert wurden. Diese Methode wird als Bringen Sie Ihren eigenen Auditor (BYOA).
Voraussetzungen:
- Ein Azure Key Vault (Premium-Stufe). Die Azure Key Vault-Dienstebene, die für diesen Prozess verwendet werden sollte, ist Premium weil es FIPS 140-2 Level 3-validiert ist.
- Anweisungen zum Erstellen eines Azure Key Vault finden Sie im nächsten Abschnitt: Erstellen eines Azure Key Vault.
- Wenn Sie bereits über einen vorhandenen Azure Key Vault verfügen, fahren Sie mit dem anderen Abschnitt fort: Generieren Sie eine Zertifikatsignieranforderung in Azure Key Vault.
- Eine Signaturzertifikatsbestellung von SSL.com.
Eine vollständige Liste der Cloud-HSMs, die SSL.com für die Codesignierung unterstützt, finden Sie in diesem Artikel: Unterstützte Cloud-HSMs für das Signieren von Dokumenten und Code.
Erstellen eines Azure Key Vault
- Melden Sie sich in der Azure-Portal.
- Klicken Sie auf Erstellen Sie eine Ressource.
- Blättern Sie zu Schlüsseldepot Und klicken Sie auf die Erschaffung Link.
- Unter dem Basics Führen Sie die folgenden Schritte aus.
- Auswählen des Abonnements und der Ressourcengruppe. Bei Bedarf können Sie eine neue Ressourcengruppe erstellen, indem Sie auf Neues.
- Vergeben Sie einen Namen und eine Region. Geben Sie Ihrem Schlüsseltresor einen Namen und wählen Sie eine Region aus.
- Entscheiden Sie sich für die Premium-PreisstufeUm dem FIPS 140-2-Standard zu entsprechen, wählen Sie die Preisstufe „Premium“.
- Konfigurieren der Wiederherstellungsoptionen. Legen Sie die Wiederherstellungsoptionen für Ihren Schlüsseltresor fest, einschließlich Löschschutz und Aufbewahrungsfrist für gelöschte Tresore.
- Klicken Sie auf die Weiter Taste, um zum zu gelangen Greifen Sie auf die Konfigurationseinstellungen zu .
- Klicken Sie auf Zugangskonfiguration. Legen Sie die Zugriffsrichtlinien für Ihren Schlüsseldepot fest.
- Klicken Sie auf Netzwerken. Wählen Sie eine Konnektivitätsmethode für Ihren Schlüsseldepot.
- Klicken Sie auf Schlüsselwörter. Falls gewünscht, erstellen Sie Tags für Ihren Key Vault.
- Weiter zu Überprüfen + erstellen. Bewertung Ihre Einstellungen und klicken Sie dann auf die Schaltfläche „Erstellen“, um Ihren neuen Schlüsseltresor zu erstellen.
- Azure erstellt dann Ihren neuen Key Vault. Sobald er fertig ist, können Sie darauf zugreifen, indem Sie auf das Gehen Sie zur Ressource .
Generieren einer Zertifikatsignieranforderung in Azure Key Vault
- Wählen Sie Ihren Schlüsseltresor aus und klicken Sie auf Zertifikate.
- Klicken Sie auf die Generieren / Importieren Taste zum Öffnen der Erstellen Sie ein Zertifikat Fenster.
- Erfüllen Sie folgende Aufgaben:
- Methode zur Zertifikatserstellung: Wählen Sie „Generieren“ aus.
- Zertifikatname: Geben Sie einen eindeutigen Namen für Ihr Zertifikat ein.
- Art der Zertifizierungsstelle (CA): Wählen Sie „Von einer nicht integrierten Zertifizierungsstelle ausgestelltes Zertifikat.“
- Thema: Geben Sie den X.509 Distinguished Name für Ihr Zertifikat an.
- Gültigkeitsdauer: Sie können die Standardeinstellung von 12 Monaten beibehalten. Bei Code Signing-Zertifikaten mit längerer Gültigkeitsdauer entspricht das ausgestellte Zertifikat Ihrer Bestellung, nicht dem CSR.
- Inhaltstyp: Wählen Sie „PEM“.
- Lebenslanger Aktionstyp: Konfigurieren Sie Azure so, dass E-Mail-Benachrichtigungen basierend auf einem bestimmten Prozentsatz der Zertifikatslebensdauer oder einer bestimmten Anzahl von Tagen vor dem Ablauf gesendet werden.
- Erweiterte Richtlinienkonfiguration. Klicken Sie auf „Erweiterte Richtlinienkonfiguration“, um Schlüsselgröße, Schlüsseltyp und Richtlinien für die Wiederverwendung und Exportierbarkeit von Schlüsseln festzulegen.
- Für Zertifikate, die von SSL.com ausgestellt wurden, können Sie Erweiterte Schlüsselverwendungen (EKUs), X.509-Schlüsselverwendungs-Flags und Zertifikatstransparenz aktivieren auf ihren Standardwerten.
- Schlüssel bei Erneuerung wiederverwenden? Wählen Sie Nr.
- Exportierbarer privater Schlüssel? Wählen Sie Nr.
- Schlüsselart. Wählen RSA+HSM
- Schlüsselgröße. Für ein Code Signing Zertifikat können Sie nur zwischen 3072 oder 4096 wählen.
- Wenn Sie mit der Einrichtung der erweiterten Richtlinienkonfiguration fertig sind, klicken Sie auf das OK Taste, gefolgt von Erschaffung.
- Auf dem Zertifikate Suchen Sie Ihr Zertifikat in der Liste der in Bearbeitung, fehlgeschlagen oder abgebrochen Zertifikate und klicken Sie darauf.
- Klicken Sie auf Zertifikatbetrieb.
- Klicken Sie auf Herunterladen CSR und speichern Sie die Datei an einem sicheren Ort.
Den ... einreichen CSR zu SSL.com und unterziehen Sie sich einer Bescheinigung
Nachdem Sie Ihr Schlüsselpaar und die Zertifikatsignieranforderung generiert haben (CSR), ist der nächste wichtige Schritt die Beglaubigung. Bevor SSL.com ein Codesignaturzertifikat ausstellen kann, müssen wir überprüfen, ob Ihr privater Schlüssel generiert wurde und sicher auf einem FIPS 140-2 Level 2 (oder höher)-zertifizierten Gerät mit nicht exportierbarem Schlüsselschutz gespeichert ist. Für Kunden, die Azure Key Vault Premium Tier verwenden, gibt es zwei Nachweisoptionen:SSL.com als Auditor
Sie können SSL.com gegen eine Gebühr als Prüfer beauftragen. Für weitere Informationen wenden Sie sich bitte an das Vertriebsteam von SSL.com über sales@ssl.com
Bringen Sie Ihren eigenen Auditor (BYOA)
Kunden können einen qualifizierten Prüfer beauftragen, der bestätigt, dass die privaten Schlüssel generiert und auf einem konformen Hardware-Sicherheitsmodul (HSM) gespeichert wurden. Diese Methode wird als Bringen Sie Ihren eigenen Auditor (BYOA).
