Met SSL.com kunnen klanten die Code Signing- of Adobe Approved Trust List (AATL) Document Signing-certificaten aanvragen, een onafhankelijke gekwalificeerde auditor van hun keuze gebruiken om te bevestigen dat de privésleutel van de klant is gegenereerd en veilig is opgeslagen in een compatibele Hardware Security Module ( HSM). SSL.com verwijst naar dit proces omdat “BYOA” een term is die we hebben bedacht.
Met BYOA voorziet de klant SSL.com van:
- Het certificaatondertekeningsverzoek (CSR) gegenereerd door de HSM.
- Bevestiging van een onafhankelijke gekwalificeerde auditor, goedgekeurd door SSL.com, dat het sleutelpaar is gegenereerd en is opgeslagen in een hardware cryptomodule die is gecertificeerd volgens ten minste FIPS 140-2 Level 2 of gelijkwaardig onder een goedgekeurde besturingsomgeving.
Deze gids beschrijft het BYOA-proces, de vereisten voor de auditor, de belangrijkste richtlijnen voor ceremonies en biedt een standaardbriefsjabloon voor de auditorattest.
Vereisten en goedkeuring van de auditor
Om de BYOA-attest uit te voeren, moet de onafhankelijke auditor vooraf worden goedgekeurd door SSL.com. SSL.com beoordeelt auditors op basis van de volgende criteria:
- Technische competentie: De auditor moet expertise hebben op het gebied van digitale certificering en cybersecurity.
- Auditkwalificaties: De auditor moet houder zijn van een erkende auditcertificering of -kwalificatie, zoals een WebTrust/ETSI-auditor of een Cloud Security Alliance CCAK.
- Ethische code: De auditor moet gebonden zijn aan een professionele ethische code, doorgaans door lidmaatschap van een professionele organisatie.
- Verifieerbare inloggegevens: SSL.com moet de inloggegevens van de auditor kunnen verifiëren via openbare bronnen zoals een auditorregister.
Als de voorkeursauditor van een klant nog niet is goedgekeurd, kan de auditor zijn of haar kwalificaties ter beoordeling aan SSL.com voorleggen aan deze criteria. SSL.com houdt een openbare lijst bij van vooraf goedgekeurde auditors ter referentie voor klanten.
Richtlijnen voor sleutelgeneratieceremonies
Voor het BYOA-proces moet de auditor getuige zijn van de sleutelgeneratieceremonie en het volgende bevestigen in zijn ondertekende attestbrief:
- De privésleutel is gegenereerd in een hardwarecryptomodule die minimaal gecertificeerd is volgens FIPS 140-2 Level 2 of gelijkwaardig.
- De HSM werkt ten minste in de FIPS 140-2 Level 2-modus.
- Er werd gebruik gemaakt van authentieke, kwetsbaarheidsvrije HSM-hardware en firmware.
- Alle communicatie met de HSM tijdens het genereren van de sleutel werd geverifieerd en gecodeerd.
- De privésleutel is gegenereerd binnen de HSM en is nooit geïmporteerd of geëxporteerd.
- De privésleutel is gemarkeerd als niet-extraheerbaar en gevoelig, in overeenstemming met de PKCS#11-normen.
- Gebruikersauthenticatie is vereist voor alle toegang tot de privésleutel.
- De besturingsomgeving van de HSM beschikt over beveiligingscontroles die gelijkwaardig zijn aan FIPS 140-2 niveau 2 of hoger.
- De auditor was aanwezig bij de gehele ceremonie en het proces voor het genereren van de sleutel, zonder enige indicatie van een compromis.
SSL.com biedt begeleiding bij de voorbereidingen voor de ceremonie, een gedetailleerd ceremoniescript en het sjabloon voor de auditorattestbrief om ervoor te zorgen dat aan alle vereisten wordt voldaan.
Verplichtingen van de abonnee
Als onderdeel van het BYOA-proces moet SSL.com een contractuele verklaring van de Abonnee verkrijgen dat zij een van de volgende methoden zullen gebruiken om de privésleutels van hun Code Signing Certificate te genereren en te beschermen in een hardwarecryptomodule met een ontwerp dat ten minste is gecertificeerd voor FIPS 140-2 Niveau 2:
- SSL.com voorziet de Abonnee van een geschikte HSM met één of meer door SSL.com vooraf gegenereerde sleutelparen.
- De Abonnee verstrekt een rapport waarin het gebruik van een conforme cloudgebaseerde oplossing voor sleutelbescherming en HSM wordt bevestigd.
- Een door SSL.com goedgekeurde auditor, met IT- en beveiligingstraining, is getuige en brengt een rapport uit over het genereren van sleutelparen in een compatibele HSM.
- De Abonnee maakt gebruik van een Ondertekenservice die voldoet aan de vereisten die zijn beschreven in sectie 6.2.7.2 van Basisvereisten.
Formuliersjabloon auditorattest
SSL.com biedt een sjabloon voor het auditorattestformulier waarin de belangrijkste punten worden beschreven die moeten worden aangepakt. Het sjabloon is beschikbaar om te downloaden hier.
Het auditorattestformulier moet worden ondertekend door de auditor die de getuigeceremonie uitvoert. Inzendingen zonder handtekeningen of van auditors die niet door SSL.com zijn goedgekeurd, worden afgewezen.
Conclusie
Dankzij het BYOA-proces kunnen SSL.com-klanten een auditor van hun keuze gebruiken voor het genereren van sleutels, wat meer flexibiliteit biedt in vergelijking met door CA beheerde attesten, terwijl nog steeds de beveiligingsnormen worden gehandhaafd die vereist zijn voor Code Signing- en Document Signing-certificaten door middel van strenge controles en ceremonies door auditors. criteria.
Klanten die geïnteresseerd zijn in BYOA voor hun Code Signing- of Document Signing-certificaatbehoeften, moeten ervoor zorgen dat hun geselecteerde auditor voldoet aan de kwalificatiecriteria van SSL.com en wordt goedgekeurd voordat ze verder gaan. Het validatieteam van SSL.com staat klaar om eventuele vragen te beantwoorden en begeleiding te bieden tijdens het voorbereidings- en uitvoeringsproces van BYOA.
Neem voor meer informatie of om het BYOA-proces te starten contact op met SSL.com-ondersteuning op ondersteuning@ssl.com
