eSigner กับ Hardware Token: การเลือกวิธีการลงนามรหัสที่เหมาะสม

บทคัดย่อ: การเลือกระหว่างบริการลงนามบนคลาวด์ eSigner ของ SSL และโทเค็นฮาร์ดแวร์นั้นส่งผลกระทบมากกว่าแค่การจัดเก็บคีย์ มันยังส่งผลต่อวิธีการทำงานของเวิร์กโฟลว์การลงนามทั้งหมดของคุณด้วย คู่มือนี้จะเปรียบเทียบทั้งสองวิธีในด้านความสามารถ ราคา และความเข้ากันได้กับ CI/CD เพื่อช่วยคุณค้นหาสิ่งที่เหมาะสม ไม่ว่าคุณจะลงนามเป็นครั้งคราวหรือใช้งานไปป์ไลน์อัตโนมัติในระดับใหญ่ คำตอบก็อยู่ที่นี่แล้ว

เมื่อคุณสั่งซื้อใบรับรองการลงนามรหัสจาก SSL คุณจะต้องตัดสินใจขั้นพื้นฐานก่อนที่คีย์ส่วนตัวของคุณจะสร้างขึ้นมา: คีย์นั้นจะเก็บไว้ที่ไหน และคุณจะใช้มันในการลงนามอย่างไร? มีสองทางเลือกหลักคือ โทเค็นฮาร์ดแวร์ที่จัดส่งถึงบ้าน หรือบริการลงนามบนคลาวด์ eSigner ของ SSL ทั้งสองวิธีนี้ตรงตามข้อกำหนดการจัดเก็บคีย์ของ CA/Browser Forum ที่มีผลบังคับใช้ในเดือนมิถุนายน 2023 แต่เหมาะสำหรับเวิร์กโฟลว์ ขนาดทีม และความต้องการด้านระบบอัตโนมัติที่แตกต่างกันมาก

คู่มือนี้ได้นำตัวเลือกทั้งสองมาเปรียบเทียบกัน เพื่อให้คุณสามารถตัดสินใจได้อย่างถูกต้องโดยไม่ต้องรวบรวมข้อมูลจากหลายแหล่ง

วิธีการทำงานของแต่ละวิธี

โทเค็นฮาร์ดแวร์ (YubiKey FIPS และ Thales SafeNet) คืออุปกรณ์ USB ทางกายภาพที่เก็บรหัสส่วนตัวของคุณไว้ในฮาร์ดแวร์ที่ป้องกันการดัดแปลง SSL จะจัดส่งอุปกรณ์เหล่านี้โดยโหลดใบรับรองของคุณไว้ล่วงหน้าแล้ว การลงนามต้องใช้อุปกรณ์ดังกล่าวอยู่กับที่ เชื่อมต่อกับเครื่อง และปลดล็อกด้วยรหัส PIN รหัสส่วนตัวจะไม่ถูกส่งออกจากอุปกรณ์

eSigner eSigner คือบริการลงนามบนคลาวด์ของ SSL คีย์ส่วนตัวของคุณจะถูกสร้างขึ้นและจัดเก็บไว้ใน HSM ที่เป็นไปตามมาตรฐาน FIPS 140-2 ซึ่ง SSL เป็นผู้จัดการ เนื่องจากคีย์อยู่บนคลาวด์ คุณจึงสามารถลงนามได้จากเครื่องใดก็ได้ที่เชื่อมต่ออินเทอร์เน็ตโดยไม่ต้องพกพาฮาร์ดแวร์ การลงนามทำได้ผ่านแอปพลิเคชันเว็บ eSigner Express, ยูทิลิตี้บรรทัดคำสั่ง CodeSignTool, API ที่เป็นไปตามมาตรฐาน CSC หรือ eSigner CKA (Cloud Key Adapter) สำหรับชุดเครื่องมือบน Windows

ทั้งสองวิธีจัดเก็บคีย์ส่วนตัวบนฮาร์ดแวร์ที่ผ่านการตรวจสอบมาตรฐาน FIPS 140-2 ความแตกต่างหลักอยู่ที่ว่าใครเป็นผู้ถือครองฮาร์ดแวร์และฮาร์ดแวร์นั้นอยู่ในขั้นตอนการทำงานของคุณตรงไหน

การเปรียบเทียบความสามารถ

การเปรียบเทียบคุณสมบัติ

การเปรียบเทียบราคา

โทเค็นฮาร์ดแวร์จะรวมอยู่ในคำสั่งซื้อใบรับรองของคุณ และแสดงถึงค่าใช้จ่ายฮาร์ดแวร์ครั้งเดียวต่ออุปกรณ์ ไม่มีค่าธรรมเนียมต่อการลงนาม แต่โทเค็นแต่ละชิ้นจะผูกกับผู้ใช้และสถานที่เพียงแห่งเดียวเท่านั้น โทเค็นเพิ่มเติมสำหรับสมาชิกในทีมจะต้องสั่งซื้อแยกต่างหาก

eSigner ทำงานบนระบบการสมัครสมาชิกแบบรายเดือนหรือรายปี โดยแผนรายปีจะได้รับส่วนลด 25% จำนวนการลงนามที่ไม่ได้ใช้จะถูกโอนไปยังรอบการเรียกเก็บเงินถัดไป ตราบใดที่การสมัครสมาชิกยังคงใช้งานอยู่

eSigner: การลงนามรหัส IV, OV และ IV+OV และการลงนามเอกสาร

สามารถขอรับใบอนุญาตลงนาม IV/OV เพิ่มเติมได้ในราคา 20.00 ดอลลาร์สหรัฐต่อใบอนุญาตต่อเดือน ในทุกระดับราคา

eSigner: การลงนามรหัส EV

สามารถเพิ่มข้อมูลรับรองการลงนาม EV ได้ในราคา 29.00 ดอลลาร์สหรัฐต่อเดือนต่อข้อมูลรับรองในทุกระดับ สำหรับปริมาณการใช้งานที่เกินกว่าขีดจำกัดสูงสุดของแต่ละระดับ โปรดติดต่อทีมขายระดับองค์กรของ SSL ที่ sales@ssl.com

หมายเหตุ เครดิตการลงนาม eSigner ทั้งหมดจะถูกริบหากการสมัครใช้งานไม่ใช้งาน การสมัครใช้งานใหม่หลังจากยกเลิกสามารถทำได้โดยมีค่าธรรมเนียม 150 ดอลลาร์สหรัฐ

ตารางความเข้ากันได้ของ CI/CD

โทเค็นฮาร์ดแวร์ต้องใช้การเชื่อมต่อ USB ทางกายภาพ ซึ่งทำให้ไม่สามารถใช้งานร่วมกับตัวรัน CI/CD ที่โฮสต์บนคลาวด์ส่วนใหญ่ได้ eSigner ถูกสร้างขึ้นมาโดยเฉพาะเพื่อการผสานรวมเข้ากับไปป์ไลน์

eSigner CKA สามารถทำงานร่วมกับชุดเครื่องมือพื้นฐานของ Windows เช่น SignTool และ certutil ได้ สำหรับสภาพแวดล้อม CI บน Linux และ macOS นั้น แนะนำให้ใช้ CodeSignTool และ CSC API

คุณควรเลือกวิธีใด?

ไม่มีตัวเลือกใดเหนือกว่าตัวเลือกอื่นในทุกกรณี คำตอบที่เหมาะสมขึ้นอยู่กับโครงสร้างทีม จังหวะการปล่อยเวอร์ชัน และโครงสร้างพื้นฐานของคุณ

เลือกใช้โทเค็นฮาร์ดแวร์หาก:

• คุณเข้าสู่ระบบไม่บ่อยนัก หากตารางการเผยแพร่ของคุณไม่สม่ำเสมอ (สองสามครั้งต่อเดือนหรือน้อยกว่านั้น) ค่าใช้จ่ายในการสมัครใช้งาน eSigner ต่อการลงนามแต่ละครั้งอาจสูงเกินกว่ามูลค่าที่ได้รับจากปริมาณการใช้งานของคุณ
• คุณทำงานในสภาพแวดล้อมที่แยกขาดจากเครือข่ายไร้สาย หรือมีการจำกัดการเข้าถึงอินเทอร์เน็ต โทเค็นฮาร์ดแวร์สามารถใช้งานแบบออฟไลน์ได้อย่างสมบูรณ์หลังจากตั้งค่าครั้งแรกเสร็จแล้ว
• ขั้นตอนการลงนามของคุณถูกสร้างขึ้นโดยใช้เครื่องมือพื้นฐานของ Windows อยู่แล้ว เช่น SignTool และคุณไม่จำเป็นต้องใช้ระบบอัตโนมัติ
• ข้อกำหนดด้านการปฏิบัติตามกฎระเบียบระบุถึงการเก็บรักษากุญแจทางกายภาพ อุตสาหกรรมที่มีการกำกับดูแลบางแห่งกำหนดให้ต้องจัดเก็บรหัสส่วนตัวไว้ในฮาร์ดแวร์จริงภายใต้การควบคุมโดยตรงขององค์กร

เลือกใช้ eSigner หาก:

• คุณใช้ไปป์ไลน์ CI/CD eSigner เป็นตัวเลือกเดียวที่ผสานรวมเข้ากับระบบรันเนอร์บนคลาวด์อย่าง GitHub Actions, GitLab CI, CircleCI, Azure DevOps และอื่นๆ ได้อย่างราบรื่น โทเค็นฮาร์ดแวร์ไม่สามารถเข้าร่วมในการสร้างบิลด์อัตโนมัติบนคลาวด์ได้
• คุณมีทีมงานที่กระจายตัวอยู่หลายที่หรือทำงานจากระยะไกล ข้อมูลประจำตัวสำหรับการลงนามด้วย eSigner สามารถแชร์ระหว่างสมาชิกในทีมได้โดยไม่ต้องจัดส่งฮาร์ดแวร์หรือจัดการสินทรัพย์ทางกายภาพในสถานที่ต่างๆ
• คุณเซ็นเอกสารในปริมาณมาก ในระดับ Tier 4 ค่าธรรมเนียมการลงนาม EV ลดลงเหลือ 0.15 ดอลลาร์ต่อการลงนาม และค่าธรรมเนียมการลงนาม IV/OV ลดลงเหลือ 0.25 ดอลลาร์ สำหรับองค์กรที่มีการลงนามหลายร้อยหรือหลายพันรายการต่อเดือน แพ็กเกจปริมาณการใช้งานของ eSigner จึงคุ้มค่ากว่าในแง่ของต้นทุน
• นอกเหนือจากการลงนามด้วยรหัสแล้ว คุณยังต้องมีการลงนามเอกสารด้วย eSigner เป็นวิธีเดียวในที่นี้ที่รองรับใบรับรองการลงนามเอกสาร โทเค็นฮาร์ดแวร์ที่ออกโดย SSL นั้นใช้สำหรับการลงนามรหัสโดยเฉพาะ
• คุณต้องการลดขั้นตอนการจัดการด้านฮาร์ดแวร์ โทเค็นหาย การล็อกรหัส PIN และความล่าช้าในการจัดส่งสินค้า เป็นความเสี่ยงด้านการดำเนินงานที่ eSigner ขจัดออกไปได้อย่างสิ้นเชิง
• คุณเพิ่งเริ่มต้นเท่านั้น ทดลองใช้งานฟรี 30 วัน พร้อมลงนามได้ไม่จำกัดจำนวนครั้ง ช่วยให้ทีมงานมีเวลาประเมิน eSigner อย่างเต็มที่ก่อนตัดสินใจสมัครใช้บริการในระดับใดระดับหนึ่ง

หมายเหตุเกี่ยวกับสภาพแวดล้อมแบบผสมผสาน

วิธีการทั้งสองนี้ไม่ได้ขัดแย้งกันในระดับองค์กร บางทีมออกโทเค็นฮาร์ดแวร์ให้กับนักพัฒนาที่ลงนามในบิลด์ภายในองค์กร ในขณะที่ใช้ eSigner สำหรับไปป์ไลน์การเผยแพร่และงานแบตช์อัตโนมัติ ใบรับรองการลงนามรหัส SSL เดียวกันสามารถลงทะเบียนใน eSigner ได้โดยอิสระจากโทเค็นฮาร์ดแวร์ใด ๆ ที่เกี่ยวข้องกับคำสั่งซื้อ

เริ่มต้นใช้งาน

• สั่งซื้อใบรับรองการลงนามรหัส: ssl.com/code-signing-certificates
• ลงทะเบียนใช้งาน eSigner: ssl.com/esigner
• ตรวจสอบคู่มือการบูรณาการ CI/CD: สามารถใช้งานได้กับ GitHub Actions, GitLab CI, CircleCI, Jenkins, Azure DevOps, Travis CI และ Bitbucket ที่ ssl.com
• ติดต่อฝ่ายขายระดับองค์กรของ SSL เพื่อสอบถามราคาสำหรับปริมาณการสั่งซื้อจำนวนมาก: ฝ่ายขาย@ssl.com

หากมีข้อสงสัยเกี่ยวกับตัวเลือกที่เหมาะสมกับสภาพแวดล้อมของคุณ ทีมสนับสนุนของ SSL พร้อมให้บริการผ่านช่องทางต่างๆ 'แชตสด' หรือซื้อตั๋วผ่านทางเว็บไซต์ ssl.com