Installa i certificati radice e intermedi SSL.com su YubiKey

Questa guida ti mostrerà come usare Yubico's ykman utilità della riga di comando per installare SSL.com certificati intermedi e root su una YubiKey con SSL.com Firma del codice EV or Identità aziendale certificato. Questa procedura potrebbe essere necessaria per evitare errori di attendibilità con documenti e codice firmati su alcuni computer.

1. Scarica e installa Manager YubiKey dal sito web di Yubico. Sono disponibili versioni per Windows, Linux e macOS. In questa guida, non useremo lo stesso YubiKey Manager, ma piuttosto il ykman utilità che verrà installata con esso.
   
2. Scarica i certificati SSL.com root e intermedi appropriati per il tuo certificato di firma di documenti o di firma di codice EV. Se il tuo certificato è stato spedito su un token USB con chiave di sicurezza convalidata FIPS 140-2 da SSL.com, avrà una chiave ECDSA. Per un certificato che è stato registrato nel servizio di firma di codice cloud eSigner di SSL.com, avrà una chiave RSA. Dai un'occhiata al nostro pagina dedicata per eSigner per saperne di più.
   • Firma dei documenti (RSA):
     • Autorità di certificazione radice SSL.com RSA
     • Certificato client SSL.com intermedio CA RSA R2
   • Firma del documento (ECDSA):
     • SSL.com Autorità di certificazione radice EV ECC
     • Certificato client Intermedio CA ECC R2
   • Firma del codice EV (RSA):
     • SSL.com Autorità di certificazione radice EV RSA R2
     • SSL.com EV Code Signing Intermedio CA RSA R3
   • Firma del codice EV (ECDSA):
     • SSL.com Autorità di certificazione radice EV ECC
     • SSL.com EV Code Signing Intermedio CA ECC R2
3. Utilizza il seguente comando per accedere ai file di YubiKey Manager:
   • Windows:

     cd "C: \ Programmi \ Yubico \ YubiKey Manager"

   • Mac OS:

     $ cd / Applicazioni / YubiKey Manager.app/Contents/MacOS

   • Su Linux (Ubuntu), il ykman il comando sarà già installato nel tuo PATH, quindi puoi saltare questo passaggio.
4. Utilizza questi comandi per installare i certificati radice e intermedi scaricati nel passaggio 2 sugli slot 82 e 83 della tua YubiKey. Sostituisci i valori in TUTTO MAIUSCOLO con i percorsi dei certificati scaricati. Nota che il testo .pem dovrebbe essere incluso nel nome del file. Se ti viene richiesta la chiave di gestione dopo aver inserito il comando, inserisci il valore della tua chiave di gestione. Puoi usare chiave di gestione predefinita nel caso in cui non l'avessi modificato. (Se devi installare più di root o intermediate, puoi usare qualsiasi slot YubiKey dall'82 al 95.)
   • Windows:

     ./ykman.exe piv import-certificate 82 "PERCORSO\A\ROOT\CERTIFICATO.pem" ./ykman.exe piv import-certificate 83 "PERCORSO\A\INTERMEDIATE\CERTIFICATO.pem

   • Mac OS:

     $ ./ykman piv import-certificate 82 /PATH/TO/ROOT/CERTIFICATE.pem -m MANAGEMENT-KEY $ ./ykman piv import-certificate 83 /PATH/TO/INTERMEDIATE/CERTIFICATE.pem -m MANAGEMENT-KEY

   • Linux (Ubuntu):

     $ ykman piv import-certificate 82 /PATH/TO/ROOT/CERTIFICATE.pem -m MANAGEMENT-KEY $ ykman piv import-certificate 83 /PATH/TO/INTERMEDIATE/CERTIFICATE.pem -m MANAGEMENT-KEY
     

5. ykman non produrrà alcun output per farti sapere quando il certificato è stato installato, ma puoi confermare l'installazione con ykman export-certificate. Ad esempio, i seguenti comandi visualizzeranno un formato di testo del certificato nello slot 82 sullo standard output. Per verificare ulteriormente, puoi aprire i certificati radice e intermedio scaricati utilizzando un editor di testo come Notepad e confrontarli con la versione testuale visualizzata dopo aver immesso il comando su ykman.
   • Windows:

     .\ykman.exe esportazione certificati piv 82 -

   •  Mac OS:

     ./ykman piv certificato di esportazione 82 -

   • Linux (Ubuntu):

     certificato di esportazione piv ykman 82 -

6. Dopo aver installato questi certificati sulla tua YubiKey, il tuo codice e / oi tuoi documenti verranno firmati con una catena di fiducia completa, quindi non si verificheranno problemi di fiducia sui computer che non hanno l'intermedio nei loro archivi di fiducia. Tieni presente che potresti dover scollegare YubiKey dal tuo computer e ricollegarlo affinché le modifiche abbiano effetto al momento della firma.

NOTA: Le chiavi private per i certificati SSL Code Signing non possono essere esportate e i certificati non possono essere emessi come file .pfx scaricabili. I certificati devono essere generati e archiviati utilizzando un'opzione sicura approvata, come un token USB YubiKey convalidato FIPS 140-2, il servizio di firma cloud eSigner di SSL o un HSM cloud supportato.