Oppdatering, august 2026: YubiKey-enheter med fastvare 5.7.4 eller nyere støtter nå RSA-3072- og RSA-4096-nøkler for PIV-operasjoner. Denne fastvaren er FIPS 140-3-validert. Kunder med en kvalifiserende YubiKey kan nå velge RSA3072 for en ny kodesigneringsnøkkel, i tillegg til ECCP256 og ECCP384. Se avsnittet nedenfor for detaljer.
Fra og med 31. mai 2021 er minimum RSA-nøkkelstørrelse for kodesignering og EV-kode signering sertifikater utstedt av SSL.com vil øke fra 2048 til 3072 bits. SSL.com gjør denne endringen som en del av sitt kontinuerlige arbeid for å følge dagens beste praksis og forbli i samsvar med alle gjeldende standarder, inkludert CA / Browser-forumets Baseline Krav for kodesignering og Retningslinjer for signering av EV-kode. Minimumstørrelser for ECC-kodesigneringsnøkler forblir uendret. SSL.coms kunder kan forvente følgende effekter av denne endringen:
- Kodesignering og EV-kodesigneringssertifikater utstedt før 31. mai 2021 (inkludert de med 2048-biters RSA-nøkler) vil fortsette å fungere som vanlig til de utløper. Så hvis du allerede har et kodesigneringssertifikat, er det ikke nødvendig å gjøre noe for øyeblikket.
- eSigner EV-kodesigneringssertifikater vil bli utstedt med 3072-biters RSA-nøkler etter denne endringen. Hvis du allerede har registrert et EV-kodesigneringssertifikat i eSigner, er ingen ytterligere handling nødvendig.
- Fordi YubiKey FIPS-tokens vi bruker til å distribuere sertifikater for EV-koder ikke støtter RSA-nøkler større enn 2048 bits, vil SSL.com begynne å utstede ECC EV-kodesigneringssertifikater på YubiKey. Derfor bør du nå bare velge ECCP256 or ECCP384 algoritme når generere nøkler for et nytt EV-kodesigneringssertifikat på Yubikey, ikke RSA2048:
- Windows-brukere med YubiKey-installerte ECC EV-kodesigneringssertifikater bør også installere YubiKey minidriver for å forhindre kompatibilitetsproblemer.
YubiKey- og RSA-nøkkelstørrelse (oppdatert august 2026)
Brukere kan signere kode med eSigners funksjon for utvidet valideringskodesignering. Klikk nedenfor for mer informasjon.
SSL kunne tidligere ikke utstede RSA-kodesigneringssertifikater på YubiKey FIPS-tokens med en nøkkelstørrelse større enn 2048 bits, fordi eldre YubiKey-fastvare ikke støttet RSA-nøkler større enn 2048 bits. Av denne grunn begynte SSL.com å utstede EV-kodesigneringssertifikater på YubiKey ved hjelp av ECCP256 eller ECCP384 i stedet for RSA.
Denne grensen gjelder ikke lenger for YubiKey-enheter med firmware 5.7.4 eller nyere. Fastvare 5.7.4 legger til støtte for generering av RSA-3072- og RSA-4096-nøkler, sammen med Ed25519 og X25519. Yubico sendte inn denne fastvaren for FIPS 140-3-validering, og YubiKey 5 FIPS-serien er nå validert under sertifikat #5291.
Kunder som bestiller et nytt kodesigneringssertifikat på en YubiKey med firmware 5.7.4 eller nyere har to algoritmealternativer:
RSA3072 (ny)
ECCP256 eller ECCP384
Kunder må sjekke YubiKey-fastvareversjonen sin før de velger RSA3072. Kunder kan sjekke fastvareversjonen ved hjelp av YubiKey Manager-applikasjonen eller
ykman infokommando. Kunder må oppdatere til fastvare 5.7.4 eller nyere hvis enheten deres rapporterer en eldre fastvareversjon.Eksisterende sertifikater
Sertifikater utstedt før 31. mai 2021, med 2048-bit RSA-nøkler, forblir gyldige til de utløper. Eksisterende sertifikatinnehavere trenger ikke å gjøre noe.
eSigner
SSL utsteder eSigner EV-kodesigneringssertifikater med 3072-bit RSA-nøkler.
Som alltid, hvis du har spørsmål om de nye kravene til nøkkelstørrelse eller andre problemer knyttet til SSLs produkter og tjenester, kan du kontakte oss via e-post på Support@SSL.com, på telefon kl 1-877-SSL-SECURE, eller ved å bruke chat-lenken på denne siden. Du kan også finne svar på mange vanlige supportspørsmål i SSL kunnskapsbase.