eSigner vs. Hardware Token: Επιλογή της σωστής μεθόδου υπογραφής κώδικα

Περίληψη: Η επιλογή μεταξύ της υπηρεσίας υπογραφής cloud eSigner της SSL και ενός διακριτικού υλικού επηρεάζει περισσότερα από την αποθήκευση κλειδιών. Διαμορφώνει τον τρόπο με τον οποίο λειτουργεί ολόκληρη η ροή εργασίας υπογραφής. Αυτός ο οδηγός συγκρίνει και τις δύο μεθόδους σε επίπεδο δυνατοτήτων, τιμολόγησης και συμβατότητας CI/CD για να σας βοηθήσει να βρείτε την κατάλληλη επιλογή. Είτε υπογράφετε περιστασιακά είτε εκτελείτε αυτοματοποιημένες διοχετεύσεις σε μεγάλη κλίμακα, η απάντηση βρίσκεται εδώ.

Όταν παραγγέλνετε ένα πιστοποιητικό υπογραφής κώδικα από SSL, πρέπει να πάρετε μια θεμελιώδη απόφαση πριν δημιουργηθεί ποτέ το ιδιωτικό σας κλειδί: πού θα βρίσκεται αυτό το κλειδί και πώς θα το χρησιμοποιήσετε για να υπογράψετε; Οι δύο κύριες διαδρομές είναι ένα φυσικό διακριτικό υλικού που αποστέλλεται στην πόρτα σας ή η υπηρεσία υπογραφής cloud eSigner της SSL. Και οι δύο ικανοποιούν τις απαιτήσεις αποθήκευσης κλειδιών του CA/Browser Forum που τέθηκαν σε ισχύ τον Ιούνιο του 2023, αλλά εξυπηρετούν πολύ διαφορετικές ροές εργασίας, μεγέθη ομάδων και ανάγκες αυτοματισμού.

Αυτός ο οδηγός παρουσιάζει τις δύο επιλογές δίπλα-δίπλα, ώστε να μπορείτε να κάνετε μια τεκμηριωμένη επιλογή χωρίς να συγκεντρώνετε πληροφορίες από πολλαπλές πηγές.

Πώς λειτουργεί κάθε μέθοδος

Διακριτικά υλικού (YubiKey FIPS και Thales SafeNet) είναι φυσικές συσκευές USB που αποθηκεύουν το ιδιωτικό σας κλειδί σε υλικό ανθεκτικό σε παραβιάσεις. Το SSL τις αποστέλλει προφορτωμένες με το πιστοποιητικό σας. Η υπογραφή απαιτεί το διακριτικό να υπάρχει φυσικά, να είναι συνδεδεμένο σε ένα μηχάνημα και να είναι ξεκλείδωτο με PIN. Το ιδιωτικό κλειδί δεν φεύγει ποτέ από τη συσκευή.

eSigner είναι η υπηρεσία υπογραφής cloud της SSL. Το ιδιωτικό σας κλειδί δημιουργείται και αποθηκεύεται σε HSM συμβατά με FIPS 140-2, τα οποία διαχειρίζεται το SSL. Επειδή το κλειδί βρίσκεται στο cloud, μπορείτε να υπογράψετε από οποιοδήποτε μηχάνημα συνδεδεμένο στο διαδίκτυο χωρίς να μεταφέρετε υλικό. Η υπογραφή πραγματοποιείται μέσω της εφαρμογής web eSigner Express, του βοηθητικού προγράμματος γραμμής εντολών CodeSignTool, του API συμβατού με CSC ή του eSigner CKA (Cloud Key Adapter) για αλυσίδες εργαλείων που βασίζονται σε Windows.

Και οι δύο μέθοδοι αποθηκεύουν ιδιωτικά κλειδιά σε επικυρωμένο υλικό FIPS 140-2. Η βασική διαφορά έγκειται στο ποιος κατέχει το υλικό και πού βρίσκεται στη ροή εργασίας σας.

Σύγκριση Δυνατοτήτων

Σύγκριση προσθέτων

Σύγκριση τιμών

Τα διακριτικά υλικού περιλαμβάνονται στην παραγγελία πιστοποιητικού σας και αντιπροσωπεύουν ένα εφάπαξ κόστος υλικού ανά συσκευή. Δεν υπάρχουν χρεώσεις ανά υπογραφή, αλλά κάθε φυσικό διακριτικό συνδέεται με έναν μόνο χρήστη και τοποθεσία. Τα πρόσθετα διακριτικά για τα μέλη της ομάδας πρέπει να παραγγελθούν ξεχωριστά.

Το eSigner λειτουργεί με βάση ένα μοντέλο συνδρομής που ενσωματώνεται στο πιστοποιητικό σας. Οι συνδρομές είναι διαθέσιμες μηνιαίως ή ετησίως. Τα ετήσια προγράμματα έχουν έκπτωση 25%. Οι αχρησιμοποίητες υπογραφές μεταφέρονται στον επόμενο κύκλο χρέωσης, εφόσον η συνδρομή παραμένει ενεργή.

eSigner: Υπογραφή κώδικα IV, OV και IV+OV και υπογραφή εγγράφων

Πρόσθετα διαπιστευτήρια υπογραφής IV/OV είναι διαθέσιμα προς 20.00 $ ανά διαπιστευτήριο ανά μήνα σε όλα τα επίπεδα.

eSigner: Υπογραφή Κώδικα Ηλεκτρικών Ηλεκτρικών Συσκευών

Πρόσθετα διαπιστευτήρια υπογραφής EV είναι διαθέσιμα προς 29.00 $/μήνα ανά διαπιστευτήριο σε όλα τα επίπεδα. Για όγκους που υπερβαίνουν τα μέγιστα όρια επιπέδου, επικοινωνήστε με την ομάδα πωλήσεων της SSL για επιχειρήσεις στη διεύθυνση sales@ssl.com.

Σημείωση: Όλες οι μονάδες υπογραφής eSigner χάνονται εάν μια συνδρομή καταστεί ανενεργή. Η επανεγγραφή μετά την ακύρωση είναι διαθέσιμη έναντι χρέωσης 150 $.

Πίνακας συμβατότητας CI/CD

Τα διακριτικά υλικού απαιτούν φυσική σύνδεση USB, γεγονός που τα καθιστά ασύμβατα με τους περισσότερους εκτελεστές CI/CD που φιλοξενούνται στο cloud. Το eSigner έχει σχεδιαστεί ειδικά για ενσωμάτωση σε αγωγούς.

Το eSigner CKA ενσωματώνεται με εργαλειοθήκες εγγενείς στα Windows, όπως το SignTool και το certutil. Για περιβάλλοντα Linux και macOS CI, οι συνιστώμενες προσεγγίσεις είναι το CodeSignTool και το CSC API.

Ποια μέθοδο πρέπει να επιλέξετε;

Καμία από τις δύο επιλογές δεν είναι καθολικά ανώτερη. Η σωστή απάντηση εξαρτάται από τη δομή της ομάδας σας, τον ρυθμό κυκλοφορίας και την υποδομή.

Επιλέξτε ένα Hardware Token εάν:

• Υπογράφεις σπάνια. Εάν το πρόγραμμα κυκλοφορίας σας είναι περιστασιακό (λίγες φορές το μήνα ή λιγότερο), το κόστος συνδρομής ανά υπογραφή στο eSigner ενδέχεται να υπερβαίνει την αξία για τον όγκο σας.
• Εργάζεστε σε ένα περιβάλλον με περιορισμένη πρόσβαση στο διαδίκτυο ή με περιορισμένη πρόσβαση στο διαδίκτυο. Τα διακριτικά υλικού μπορούν να λειτουργήσουν εντελώς εκτός σύνδεσης μετά την αρχική εγκατάσταση.
• Η ροή εργασίας υπογραφής σας έχει ήδη δημιουργηθεί με βάση εργαλεία που είναι εγγενή στα Windows όπως το SignTool, και δεν χρειάζεστε αυτοματοποίηση.
• Οι απαιτήσεις συμμόρφωσης καθορίζουν τη φύλαξη του φυσικού κλειδιού. Ορισμένες ρυθμιζόμενες βιομηχανίες ορίζουν ότι τα ιδιωτικά κλειδιά βρίσκονται σε φυσικό υλικό υπό άμεσο οργανωτικό έλεγχο.

Επιλέξτε eSigner εάν:

• Χρησιμοποιείτε έναν αγωγό CI/CD. Το eSigner είναι η μόνη επιλογή που ενσωματώνεται εγγενώς με τους cloud-hosted runners σε GitHub Actions, GitLab CI, CircleCI, Azure DevOps και άλλα. Τα tokens υλικού δεν μπορούν να συμμετέχουν σε αυτοματοποιημένες δομές cloud.
• Έχετε μια κατανεμημένη ή απομακρυσμένη ομάδα. Τα διαπιστευτήρια υπογραφής eSigner μπορούν να κοινοποιηθούν σε όλα τα μέλη της ομάδας χωρίς να απαιτείται αποστολή υλικού ή διαχείριση φυσικών περιουσιακών στοιχείων σε διαφορετικές τοποθεσίες.
• Υπογράφετε με μεγάλη ένταση. Στο Επίπεδο 4, η υπογραφή EV μειώνεται στα 0.15 $ ανά υπογραφή και η υπογραφή IV/OV μειώνεται στα 0.25 $. Για οργανισμούς με εκατοντάδες ή χιλιάδες μηνιαίες υπογραφές, τα οικονομικά στοιχεία ευνοούν τα επίπεδα όγκου του eSigner.
• Χρειάζεστε υπογραφή εγγράφων εκτός από την υπογραφή κώδικα. Το eSigner είναι η μόνη μέθοδος εδώ που υποστηρίζει πιστοποιητικά υπογραφής εγγράφων. Τα διακριτικά υλικού που εκδίδονται από το SSL είναι ειδικά για υπογραφή κώδικα.
• Θέλετε να εξαλείψετε την εφοδιαστική υλικού. Η απώλεια διακριτικών (tokens), το κλείδωμα PIN και οι καθυστερήσεις στη φυσική αποστολή αποτελούν λειτουργικούς κινδύνους που η eSigner εξαλείφει πλήρως.
• Μόλις ξεκινάς. Η δωρεάν δοκιμαστική περίοδος 30 ημερών με απεριόριστες υπογραφές δίνει στις ομάδες χρόνο να αξιολογήσουν πλήρως το eSigner πριν δεσμευτούν σε ένα επίπεδο συνδρομής.

Μια σημείωση για τα μικτά περιβάλλοντα

Αυτές οι δύο μέθοδοι δεν αλληλοαποκλείονται σε επίπεδο οργανισμού. Ορισμένες ομάδες εκδίδουν διακριτικά υλικού σε προγραμματιστές που υπογράφουν τοπικά builds, ενώ παράλληλα υιοθετούν το eSigner για αγωγούς κυκλοφορίας και αυτοματοποιημένες εργασίες δέσμης. Το ίδιο πιστοποιητικό υπογραφής κώδικα SSL μπορεί να εγγραφεί στο eSigner ανεξάρτητα από οποιοδήποτε διακριτικό υλικού που σχετίζεται με την παραγγελία.

Ξεκινώντας

• Παραγγείλτε ένα πιστοποιητικό υπογραφής κώδικα: ssl.com/code-signing-certificates
• Εγγραφείτε στο eSigner: ssl.com/esigner
• Εξετάστε τους οδηγούς ενσωμάτωσης CI/CD: Διαθέσιμο για GitHub Actions, GitLab CI, CircleCI, Jenkins, Azure DevOps, Travis CI και Bitbucket στο ssl.com
• Επικοινωνήστε με τις πωλήσεις SSL για επιχειρήσεις για τιμολόγηση όγκου: sales@ssl.com

Για ερωτήσεις σχετικά με το ποια επιλογή ταιριάζει στο συγκεκριμένο περιβάλλον σας, η ομάδα υποστήριξης της SSL είναι διαθέσιμη μέσω ζωντανή συζήτηση ή την πύλη εισιτηρίων στο ssl.com.