Introduksjon
Som en ledende sertifikatmyndighet (CA) og et tillitstjenesteselskap, prioriterer vi sikkerheten og påliteligheten til våre digitale sertifikater og prosedyrer for identitetsvalidering. Denne veiledningen er fokusert på våre merkede forhandlerpartnere som har underordnede sertifikatmyndigheter lenket til SSL.coms pålitelige rot (referert til som "subCAer") og er ansvarlige for å samle inn valideringsbevis, sende det til vår registreringsmyndighetsportal og legge til rette for utstedelse av sertifikater fra partnermerkede subCA-er som administreres av SSL.com. Hensikten med denne veiledningen er å sikre integriteten og sikkerheten til innsendingsprosessen for valideringsbevis og sertifikatlivssyklusen, for forhandlere har ikke direkte tilgang til rotmateriale og kan bare samhandle med sertifikatlivssyklusoperasjoner gjennom en utpekt API eller gjennom en konto i portalen for registreringsmyndighet (RA) administrert av SSL.com.
Sikker innsamling av valideringsbevis for utvidede, organisasjons- og individuelle valideringstyper
-
Dataminimering: Samle bare det nødvendige valideringsbeviset som kreves for sertifikatutstedelsesprosessen. Unngå å samle inn uvedkommende eller sensitiv informasjon.
-
Sikker innsamlingsmetoder: Bruk sikre kanaler, for eksempel krypterte skjemaer eller portaler, når du samler inn valideringsbevis fra sluttbrukere.
-
Adgangskontroll: Implementer strenge tilgangskontroller for å samle valideringsbevis. Kun autorisert personell skal ha tilgang, og multifaktorautentisering bør være obligatorisk.
-
Dataintegritet: Sørg for at valideringsbeviset forblir uendret under innsamlingsprosessen.
-
Validering av domenekontroll: Bruk valideringstjenester og metoder for domenekontroll som er strengt levert av SSL.com.
Sikker innsending av valideringsbevis til Root CA
-
API-sikkerhet: Bruk alltid den angitte API-en for å sende inn valideringsbevis. Sørg for at API-kall gjøres over sikre kanaler, for eksempel HTTPS.
-
Portalopplastinger: En annen sikker metode for innsending av bevis er å laste opp bevis direkte til den relaterte rekkefølgen du vil se på SSL.com-kontoen din; pass på at du kun laster opp bevis relatert til den spesifikke bestillingen.
-
Regelmessige revisjoner: Gjennomfør regelmessige revisjoner av innsendingslogger for å sikre at ingen uautoriserte innsendinger blir gjort.
-
Hendelsesrespons: Ha en klar hendelsesplan for eventuelle avvik eller brudd i innsendingsprosessen. Gi beskjed roten CA hvis det oppdages uregelmessigheter.
Beste praksis for bruk av Certificate Lifecycle Operations API
-
API Key Management: Beskytt API-nøklene dine. Oppbevar dem sikkert, roter dem med jevne mellomrom, og utsett dem aldri i klientsidekode eller offentlige depoter.
-
Prisbegrensning: Vær oppmerksom på eventuelle takstgrenser pålagt API for å unngå utilsiktede tjenesteavbrudd.
-
Overvåking og logging: Overvåk alle API-aktiviteter. Oppretthold detaljerte logger og gjennomgå dem regelmessig for mistenkelige eller uautoriserte aktiviteter.
-
Feilhåndtering: Implementer robuste feilhåndteringsmekanismer. I tilfelle feil eller avvik i API-svarene, ha en klar prosedyre for å løse dem.
Vedlikeholde en sikker nettside
-
riktig TLS Serverkonfigurasjon: Sørg for at serveren kun støtter sterke kryptografiske chiffer og protokoller. Oppdater og patch serveren regelmessig for å forhindre kjente sårbarheter.
-
Herding av operativsystemet: Minimer antallet tjenester som kjører på serveren, bruk sikkerhetsoppdateringer umiddelbart og bruk sikkerhetskonfigurasjoner for å redusere angrepsoverflaten.
-
Vanlige nettstedssårbarheter: Skann regelmessig etter og adresser sårbarheter som SQL-injeksjon, Cross-Site Scripting (XSS) og Cross-Site Request Forgery (CSRF).
-
Oppretthold riktig passordhelse: Sørg for at passord er komplekse, og inneholder en blanding av store og små bokstaver, tall og spesialtegn. Oppmuntre de som har tilgang til serverne eller CRM til å oppdatere passordene sine regelmessig og unngå gjenbruk av passord fra andre nettsteder. Implementer multifaktorautentisering (MFA) eller bruk clientAuth-sertifikater.
CA/B Forum nettverks- og sertifikatsystemer Sikkerhetskrav
-
Kvartalsvise sårbarhetsskanninger: Gjennomfør regelmessige sårbarhetsskanninger hvert kvartal for å identifisere og rette opp potensielle sikkerhetsproblemer.
-
Årlig penetrasjonstesting: Delta i årlig penetrasjonstesting for å simulere potensielle angrep og identifisere svake punkter i systemet.
-
Markedsfør sikkerhetskrav: Understrek viktigheten av å følge CA/B Forum Network and Certificate Systems Security Requirements for å opprettholde tillit og sikkerhet.
Fremme gode fremgangsmåter for sluttbrukere med generering av private nøkkel, lagring og CSRs
-
Lær om nøkkelgenerering: Veiled sluttbrukere til å bruke CA-godkjente verktøy for å generere nøkler og CSRs. Dette sikrer kompatibilitet og sikkerhet.
-
Nøkkellengde og algoritme: Råd sluttbrukere til å bruke sterke kryptografiske algoritmer og passende nøkkellengder (f.eks. RSA 2048-bit eller høyere).
-
Tilgangskontroll og multifaktorautentisering: Implementer strenge tilgangskontroller og fremme bruken av multifaktorautentisering, spesielt for handlinger som utløser CA API-interaksjoner som sertifikatomnøkkel, fornyelse og tilbakekalling.
Sikker lagring av private nøkler
-
Kontinuerlig nøkkelrotasjon: Regelmessig nøkkelrotasjon minimerer mengden data som blir eksponert hvis en nøkkel blir kompromittert, og forkorter tiden det tar en angriper å knekke en nøkkel.
-
Kryptert lagring og sikkerhetskopiering: Oppmuntre til krypterte sikkerhetskopier av private nøkler, lagret sikkert og separat.
-
Tilbakekalling og nøkkelødeleggelse: Oppmuntre retningslinjer hos sluttbrukerne dine som muliggjør rask og effektiv tilbakekalling hvis en nøkkel er kompromittert eller ikke lenger er nødvendig. Nøkkelen skal ikke brukes til kryptografiske operasjoner etter å ha blitt tilbakekalt og bør destrueres.
-
Sette på plass et nøkkelhierarki: Denne strukturen skaper lag med kryptografiske nøkler, hver med ulike nivåer av tilgang og kontroll. Hovednøkkelen, som er i sentrum av dette hierarkiet og er ekstremt sikker, brukes til å kryptere tilleggsnøkler, som ofte refereres til som "underordnet" eller "datakryptering."
-
Å ha en katastroferesponsstrategi: Utvikle definerte handlinger som må tas, så vel som ansvarlige parter i tilfelle et større nøkkelkompromiss eller nøkkeltap.
Tilliten til vår CA og våre merkede forhandlere er avgjørende. Ved å følge disse omfattende beste praksisene kan vi sikre sikkerheten og integriteten til sertifikatutstedelsesprosessen, beskytte brukerdata og opprettholde tilliten til sluttbrukerne våre. Vi oppfordrer alle våre forhandlere til å implementere denne praksisen flittig og ta kontakt med oss for ytterligere veiledning eller avklaring.
