Boas notícias para os usuários do YubiKey: a Yubico lançou o firmware 5.7.4 para a série YubiKey 5 FIPS, que altera as funcionalidades do dispositivo para assinatura de código. A atualização adiciona suporte para geração de chaves RSA-3072 e RSA-4096 no applet PIV. A Yubico submeteu o firmware à validação FIPS 140-3. A série YubiKey 5 FIPS agora está validada sob o Certificado nº 5291.
Por isso é importante
Se você tem usado um YubiKey para assinatura de código, talvez se lembre da limitação sobre a qual escrevemos em 2021. Novo tamanho mínimo de chave RSA para certificados de assinatura de códigoNaquela época, o firmware do YubiKey suportava no máximo um tamanho de chave RSA de 2048 bits. Como o SSL exige uma chave RSA de no mínimo 3072 bits para certificados de assinatura de código, o RSA não era uma opção. Era necessário escolher ECCP256 ou ECCP384.
Isso não é mais o caso.
O que mudou
Se o seu YubiKey estiver executando o firmware 5.7.4 ou posterior, agora você pode gerar uma chave RSA de 3072 bits diretamente no dispositivo, juntamente com as opções ECCP256 e ECCP384 já existentes.
Isso significa que, ao configurar um novo certificado de assinatura de código em um YubiKey qualificado, você agora tem três opções de algoritmo:
- RSA3072
- ECCP256
- ECCP384
Verifique primeiro a versão do seu firmware.
Antes de escolher o RSA3072, verifique a versão do seu firmware. Existem duas maneiras fáceis de fazer isso:
- Abra o aplicativo YubiKey Manager. A versão do seu firmware aparecerá diretamente na tela inicial.
- Execute informações ykman a partir da linha de comando com seu YubiKey conectado.
Se o seu dispositivo indicar uma versão mais antiga, atualize para o firmware 5.7.4 ou posterior usando o aplicativo YubiKey Manager.
Qual opção você deve escolher?
Se você precisa de uma chave RSA de 3072 bits com suporte de hardware no seu YubiKey, agora você tem essa opção. Se você já usa ECCP256 ou ECCP384, não precisa mudar. Seus certificados atuais permanecem válidos até expirarem, independentemente do algoritmo usado.
Para obter instruções passo a passo, consulte nosso guia: Geração e autenticação de chaves com YubiKey para certificados de assinatura de código.
Tem alguma dúvida? Entre em contato com a Equipe de Suporte SSL usando o formulário abaixo ou inicie um chat no canto inferior direito desta página para obter ajuda mais rápida. Estamos aqui para ajudar.
