SSL.com では、コード署名証明書または Adobe Approved Trust List (AATL) ドキュメント署名証明書を要求する顧客が、任意の資格のある監査人を利用して、顧客の秘密鍵が生成され、準拠したハードウェア セキュリティ モジュール (HSM) に安全に保存されていることを証明できます。 SSL.com このプロセスを私たちが作った言葉「BYOA」と呼んでいます。
BYOA では、顧客は SSL.com に以下を提供します。
- 証明書署名要求（CSR) は HSM によって生成されました。
- SSL.com が承認した資格のある監査人による、キー ペアが生成され、承認された動作環境下で少なくとも FIPS 140-2 レベル 2 または同等の認定を受けたハードウェア暗号モジュールに保存されていることを確認します。
このガイドでは、BYOA プロセス、監査人の要件、主要な儀式のガイドラインについて詳しく説明し、監査人の証明書用のフォーム レター テンプレートを提供します。
監査人の要件と承認
BYOA認証を実行するには、資格のある監査人がSSL.comの事前承認を受けている必要があります。SSL.comは、以下の基準に基づいて監査人を評価します。
- 技術的能力: 監査人は、デジタル認証とサイバーセキュリティの分野における専門知識を持っている必要があります。
- 監査資格: 監査人は、WebTrust/ETSI 監査人や Cloud Security Alliance CCAK などの公認監査認定または資格を保持している必要があります。
- 倫理規定: 監査人は、通常は専門組織の会員資格を通じて、専門職の倫理規定に従う必要があります。
- 検証可能な資格情報: SSL.com は、公開ソースを通じて監査人の資格情報を検証できる必要があります。
- サイバーセキュリティ認証：監査人は、 よく–既知の確立されたサイバーセキュリティ機関、例えば ISOシステムとソフトウェア品質要件と評価（スクエア）、サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、 ウェブトラスト、コンピューティング技術産業協会 (CompTIA) サイバーセキュリティ、その他多数。
顧客の希望する監査人がまだ承認されていない場合、監査人は SSL.com に資格を提出し、これらの基準に照らして審査を受けることができます。SSL.com は、顧客の参照用に、事前承認済みの監査人の公開リストを維持しています。
鍵生成セレモニーのガイドライン
BYOA プロセスの場合、監査人はキー生成セレモニーに立ち会い、署名した証明書で次の事項を確認する必要があります。
- 秘密キーは、少なくとも FIPS 140-2 レベル 2 または同等の認定を受けたハードウェア暗号モジュールで生成されました。
- HSM は少なくとも FIPS 140-2 レベル 2 モードで動作しています。
- 脆弱性のない正規の HSM ハードウェアとファームウェアが使用されました。
- キー生成中の HSM とのすべての通信は認証され、暗号化されました。
- 秘密鍵は HSM 内で生成され、インポートまたはエクスポートされたことはありません。
- 秘密鍵は、PKCS#11 標準に準拠し、抽出不可能かつ機密としてマークされています。
- 秘密鍵へのすべてのアクセスにはユーザー認証が必要です。
- HSM の運用環境には、FIPS 140-2 レベル 2 と同等以上のセキュリティ制御が備わっています。
- 監査人は鍵生成の儀式とプロセス全体に立ち会いましたが、侵害の兆候はありませんでした。
SSL.com では、すべての要件が満たされていることを確認するために、式典の準備、詳細な式典の台本、監査人の証明書テンプレートに関するガイダンスを提供しています。
加入者の義務
BYOA プロセスの一環として、SSL.com は加入者から、少なくとも FIPS 140-2 レベル 2 に認定された設計のハードウェア暗号モジュールでコード署名証明書の秘密キーを生成および保護するために、次のいずれかの方法を使用するという契約上の表明を取得する必要があります。
- SSL.com は、SSL.com によって事前に生成された 1 つ以上のキー ペアを備えた適切な HSM を加入者に提供します。
- 加入者は、準拠したクラウドベースのキー保護ソリューションと HSM の使用を確認するレポートを提供します。
- SSL.com によって承認され、IT およびセキュリティのトレーニングを受けた監査人が、準拠した HSM でのキー ペア生成を目撃し、レポートを提供します。
- 加入者は、ベースライン要件セクション 6.2.7.2 に詳述されている要件を満たす署名サービスを使用しています。
監査人証明書フォーム テンプレート
SSL.comは、対処すべき重要なポイントを詳細に説明した監査人の証明書フォームのテンプレートを提供しています。テンプレートはダウンロード可能です。 こちら.
監査人の証明書フォームには、式典の証人を務める監査人が署名する必要があります。署名のない提出物や SSL.com が承認していない監査人からの提出物は拒否されます。 署名した申請者は、すべての鍵が 提出された 生成された フォームに記載されているHSMはシステムからエクスポートできません。署名後、記入済みの書類をご注文と一緒にアップロードしてご提出ください。
結論
BYOA プロセスにより、SSL.com のお客様は、キー生成の認証に任意の監査人を利用できるようになり、CA 管理の認証に比べて柔軟性が向上します。また、厳格な監査人の審査とセレモニー基準を通じて、コード署名証明書とドキュメント署名証明書に必要なセキュリティ標準も維持されます。
コード署名またはドキュメント署名証明書のニーズに BYOA をご希望のお客様は、続行する前に、選択した監査人が SSL.com の資格基準を満たし、承認されていることを確認する必要があります。SSL.com の検証チームは、BYOA の準備と実行プロセス全体を通じて、あらゆる質問に回答し、ガイダンスを提供します。
詳細情報やBYOAプロセスの開始については、SSL.comサポートまでお問い合わせください。 お問い合わせ
