Extended Validation Code Signing을 위한 디지털 인증서 발급 또는 Adobe 문서 서명 g가 필요합니다키의 생성 특정 보안 속성이 있습니다. 생성될 때 키는 "민감한"(키를 일반 텍스트로 표시할 수 없음)으로 플래그 지정해야 하며, 더 중요한 것은 HSM에서 내보낼 수 없는(암호화된 경우에도 공개할 수 없음) 키에 표시되어야 합니다. 사전 설치된 인증서를 사용하여 SSL.com에서 보안 토큰을 얻는 것과 같이 이 절차를 수행하기 위해 따라야 할 몇 가지 경로가 있습니다. 이 문서는 고객이 자신의 물리적 HSM 또는 클라우드 HSM 계정을 사용하도록 선택하고 이 프로세스의 적절한 실행을 증명하기 위해 선택한 자격을 갖춘 전문가를 고용하는 경우에 중점을 둡니다.
증명이란 무엇입니까?
SSL.com이 서명하고 발행하기 전에 EV 코드 서명 또는 Adobe-Trusted Document Signing 인증서를 사용하는 경우 먼저 고객의 개인 서명 키가 FIPS 140-2 레벨 2(또는 그 이상) 인증 장치에서 생성되었으며 내보낼 수 없는 장치에 안전하게 저장되어 있다는 증거를 확보해야 합니다. 개인 키가 이러한 요구 사항을 충족한다는 것을 증명하는 행위를 증명. 개인 키 증명을위한 정확한 절차는 장치와 클라우드 컴퓨팅 플랫폼에 따라 다릅니다.
다음과 같은 일부 서비스 구글 클라우드 HSM, 사용된 모든 HSM에 대해 고유한 인증서를 발급하여 원격 증명을 제공합니다. 이 인증서는 HSM의 제조업체에서 발급한 고유한 인증서와 결합하여 생성된 키에 필요한 속성이 있고 PKCS #11을 준수한다는 확신을 제공하기에 충분합니다. 이러한 증명은 SSL.com이 키의 적격성을 보장하기에 충분한 증거로 간주됩니다.
그러나 원격 키 증명을 제공하지 않는 서비스, 특히 AWS가 있습니다. 이 경우 인증은 KGC(Key Generation Ceremony)라는 수동 절차로 수행됩니다. KGC는 해당 분야에서 고도로 숙련된 심사원의 검증이 필요합니다. 클라이언트는 SSL.com의 사내 전문가를 활용할 수 있지만 원하는 독립적인 전문가를 선택할 수도 있습니다. 이를 BYOA(Bring Your Own Auditor)라고 합니다. 프로세스가 적절한 검증을 제공하는지 확인하려면 다음 필드를 제어해야 합니다.
- 적절한 KGC를 제공할 선정된 전문가(감사인)의 적격성
- KGC 준비 및 실행 프로세스
- 감사인이 확인하고 보고해야 하는 최소한의 요구사항
KGC 절차: 준비 및 지침
BYOA는 클라이언트에게 유효한 대안이지만 철저한 준비가 필요합니다. 그렇지 않으면 생성된 키가 거부될 상당한 위험이 있습니다. 이는 사용된 장치가 규정을 준수하지 않거나 감사자가 자격이 없거나 감사 보고서가 프로세스 요구 사항을 다루지 않는 경우 발생할 수 있습니다. 이러한 경우 예식과 증인이 반복되어야 하므로 고객에게 추가 비용과 지연이 발생합니다.
이러한 시나리오를 피하기 위해 SSL.com의 고객 지원 및/또는 검증 전문가는 KGC 전에 고객과 통신하여 지침을 제공하고 다음을 확인합니다.
- 감사인은 아래에 설명된 기준에 따라 승인됩니다.
- 예식 준비 요구 사항과 예식 대본이 명확하고 철저히 준수되어 KGC 환경이 잘 준비되어 있습니다.
- 모든 제한 사항 및/또는 BYOA 관련 이용 약관이 명확하고 고객이 수락합니다.
KGC 심사원 자격
EV 코드 서명 또는 Adobe-Trusted Document Signing 인증서를 요청하는 고객은 인증서 서명 요청(CSR) 및 키 쌍이 승인된 HSM, 승인된 운영 환경 및 모든 PKCS #11 속성을 준수하여 생성 및 저장되었다는 독립 전문가(BYOA)의 확인.
SSL.com은 고객이 선택한 전문가의 역량과 윤리성을 보장하기 위해 일련의 기준을 설정했습니다. SSL.com의 계열사 감사자를 평가하고 승인하는 데도 사용되는 이러한 기준은 서명 제품(EV 코드 서명 또는 Adobe-Trusted Document Signing 인증서)의 보안 및 적합성을 보장하기 위해 마련되었습니다.
심사원의 인증 승인 또는 거부에 대해 고려되는 기준은 다음과 같습니다.
- 기술 역량: 심사원은 디지털 인증 및 사이버 보안 분야의 자격을 갖추어야 합니다.
- 감사 역량: 심사원은 적절한 개인 인증 또는 전문 역량(예: Webtrust/ETSI 심사원, Cloud Security Alliance CCAK)을 통해 심사 역량의 자격을 증명해야 합니다.
- 윤리학: 예를 들어 감사인 인증의 일부로 법적 구속력이 있는 윤리 강령이 있는지 확인합니다.
- 위의 감사인 정보를 확인할 수 있는 능력: 인증을 확인하기 위해 공개 소스(예: 감사자 레지스트리)에 대한 확인.
이러한 기준은 승인되기 전에 SSL.com 검증 전문가가 확인합니다. SSL.com은 고객의 편의를 위해 위의 기준에 대한 BYOA 승인 인증 목록과 제휴 감사인 목록을 유지 관리합니다.
이 정보는 준비 단계에서 고객에게 공개됩니다. 자세한 내용은 문의하십시오 support@ssl.com.
KGC 증명 요구 사항
준비 단계는 추가 비용과 지연으로 이어질 수 있는 행사의 사고를 방지하는 데 중요합니다. SSL.com의 고객 관리는 행사 스크립트가 선택되기 전에 모든 감사 요구 사항이 고객과 자격을 갖춘 감사자 모두에게 전달되도록 합니다. 추가 지원을 위해 SSL.com은 행사 준비 요구 사항 및 행사 스크립트와 같이 AWS Cloud HSM을 지원하는 자료를 준비했습니다. support@ssl.com 준비 단계에서.
클라이언트는 Qualified Auditor(QA)를 통해 자신의 스크립트를 생성하도록 선택할 수 있지만 이 경우 Ceremony 스크립트를 사용하기 전에 자체 엔지니어가 검토하고 승인하는 것이 좋습니다.
어떤 경우에도 자격을 갖춘 감사인은 개인 키 생성식과 관련하여 다음을 직접 확인하고 증명해야 합니다.
- 개인 키 자료는 최소 FIPS 140-2 레벨 2를 준수하는 HSM에서 생성되었으며 최소 FIPS 140-2 레벨 2 모드에서 작동합니다.
- 행사에 사용된 HSM 및 펌웨어는 정품이며 펌웨어 버전은 알려진 취약점과 관련이 없습니다.
- 행사에 사용된 소프트웨어는 제조사에서 제공한 공식 HSM 소프트웨어로 QA에서 무결성을 확인했습니다.
- 키 생성 프로세스 중 HSM과의 모든 통신은 암호화되고 암호화 수단을 통해 상호 인증되었습니다.
- 개인 키 구성 요소가 HSM 내에서 생성되었으며 가져오지 않았습니다.
- 개인 키 구성 요소는 추출 가능한 것으로 표시되지 않았으며(PKCS #11 속성 "CKA_EXTRACTABLE/CKA_EXPORTABLE") 절대 그렇지 않습니다.
- 개인 키 자료는 민감한 것으로 표시되며(PKCS #11 속성 "CKA_SENSITIVE") 항상 그랬습니다.
- 생성된 키 자료에 액세스하려면 사용자 인증이 필요합니다.
- QA가 참석했고 모든 행사 절차를 따랐으며 부정 행위의 의심이나 증거는 없었습니다.
위의 요구 사항 외에도 QA는 가입자의 운영 환경이 최소한 FIPS 140-2 레벨 2와 동등한 수준의 보안을 달성했음을 증명합니다.
결론
BYOA는 Extended Validation Code Signing 및 Adobe Approved Trust List 인증서에 대해 원격 증명을 사용할 수 없는 경우에 유효하고 유용한 대안입니다. SSL.com은 고객이 절차를 철저히 준비하고 이 옵션을 사용할 경우 최고 수준의 지원을 제공하는지 확인합니다.
