SSL.com tillåter kunder som efterfrågar Code Signing eller Adobe Approved Trust List (AATL) Document Signing-certifikat att använda en oberoende kvalificerad revisor efter eget val för att intyga att kundens privata nyckel genererades och lagras säkert i en kompatibel hårdvarusäkerhetsmodul ( HSM). SSL.com hänvisar till denna process som "BYOA" är en term som vi hittade på.
Med BYOA förser kunden SSL.com med:
- Begäran om certifikatsignering (CSR) genererad av HSM.
- Bekräftelse från en oberoende kvalificerad revisor, godkänd av SSL.com, att nyckelparet har genererats och lagrats i en hårdvarukrypteringsmodul som är certifierad till minst FIPS 140-2 nivå 2 eller motsvarande under en godkänd driftsmiljö.
Den här guiden beskriver BYOA-processen, revisorskrav, riktlinjer för nyckelceremoni och tillhandahåller en mall för ett standardbrev för revisorsintyget.
Revisorkrav och godkännande
För att utföra BYOA-intyget måste den oberoende revisorn vara förhandsgodkänd av SSL.com. SSL.com utvärderar revisorer utifrån följande kriterier:
- Teknisk kompetens: Revisorn ska ha expertis inom området digital certifiering och cybersäkerhet.
- Revisionskvalifikationer: Revisorn måste ha en erkänd revisionscertifiering eller kvalifikation, till exempel att vara WebTrust/ETSI-revisor eller ha en Cloud Security Alliance CCAK.
- Etisk kod: Revisorn måste vara bunden av en professionell etisk kod, vanligtvis genom medlemskap i en professionell organisation.
- Verifierbara referenser: SSL.com måste kunna verifiera revisorns referenser genom offentliga källor som ett revisorsregister.
Om en kunds föredragna revisor inte redan är godkänd kan revisorn lämna in sina kvalifikationer till SSL.com för granskning mot dessa kriterier. SSL.com upprätthåller en offentlig lista över förhandsgodkända revisorer för kundernas referens.
Riktlinjer för nyckelgenereringsceremoni
För BYOA-processen måste revisorn bevittna nyckelgenereringsceremonin och bekräfta följande i sitt undertecknade intygsbrev:
- Den privata nyckeln genererades i en hårdvarukrypteringsmodul som är certifierad till minst FIPS 140-2 nivå 2 eller motsvarande.
- HSM fungerar i åtminstone FIPS 140-2 nivå 2-läge.
- Äkta, sårbarhetsfri HSM-hårdvara och firmware användes.
- All kommunikation med HSM under nyckelgenerering autentiserades och krypterades.
- Den privata nyckeln genererades inuti HSM och importerades eller exporterades aldrig.
- Den privata nyckeln är markerad som ej extraherbar och känslig, i enlighet med PKCS#11-standarder.
- Användarautentisering krävs för all åtkomst till den privata nyckeln.
- HSM:s driftsmiljö har säkerhetskontroller motsvarande FIPS 140-2 nivå 2 eller högre.
- Revisorn var närvarande under hela nyckelgenereringsceremonin och processen utan indikationer på kompromiss.
SSL.com tillhandahåller vägledning om ceremoniförberedelser, ett detaljerat ceremonimanus och mallen för revisorsintyg för att säkerställa att alla krav uppfylls.
Abonnentens skyldigheter
Som en del av BYOA-processen måste SSL.com erhålla en avtalsenlig representation från abonnenten om att de kommer att använda en av följande metoder för att generera och skydda sina kodsigneringscertifikats privata nycklar i en hårdvarukryptomodul med en design som är certifierad enligt minst FIPS 140-2 Nivå 2:
- SSL.com förser abonnenten med en lämplig HSM med ett eller flera nyckelpar som är förgenererade av SSL.com.
- Abonnenten tillhandahåller en rapport som bekräftar användningen av en kompatibel molnbaserad nyckelskyddslösning och HSM.
- En revisor godkänd av SSL.com, med IT- och säkerhetsutbildning, bevittnar och ger en rapport om nyckelparsgenereringen i en kompatibel HSM.
- Abonnenten använder en Signeringstjänst som uppfyller kraven som beskrivs i Baseline Requirements avsnitt 6.2.7.2.
Revisorintygsmall
SSL.com tillhandahåller en mall för revisorns intygsformulär som beskriver de viktigaste punkterna som måste åtgärdas. Mallen finns tillgänglig för nedladdning här..
Revisorintyget ska undertecknas av den revisor som utför ceremonivittnet. Bidrag utan underskrifter eller från revisorer som inte godkänts av SSL.com kommer att avvisas.
Slutsats
BYOA-processen gör det möjligt för SSL.com-kunder att använda en revisor som de själva väljer för attestering av nyckelgenerering, vilket ger mer flexibilitet jämfört med CA-hanterad verifiering, samtidigt som de upprätthåller säkerhetsstandarderna som krävs för kodsignerings- och dokumentsigneringscertifikat genom rigorös granskning och ceremoni. kriterier.
Kunder som är intresserade av BYOA för deras kodsignerings- eller dokumentsigneringscertifikat bör se till att deras valda revisor uppfyller SSL.coms kvalifikationskriterier och är godkänd innan de fortsätter. SSL.coms valideringsteam är tillgängligt för att svara på alla frågor och ge vägledning genom hela BYOA-förberedelse- och exekveringsprocessen.
För mer information eller för att initiera BYOA-processen, kontakta SSL.com support på support@ssl.com
