Wie das Code Signing EV Zertifikat gespeichert werden kann
Das Code Signing EV Zertifikat muss immer auf einem sicheren Gerät gespeichert sein, welches seine Vertrauenswürdigkeit garantiert. Die Speicherung auf dem Token schließt außerdem sein Missbrauch aus, weil das Gerät mit einem Passwort geschützt ist und der private Schlüssel sich nicht exportieren lässt. Welche Optionen der Speicherung von Code Signing EV Zertifikaten stehen Ihnen als unseren Kunden zur Verfügung?
Keylocker
Die sicherste und aktuellste Art, Ihr Zertifikat in der Cloud zu speichern. Nach der Ausstellung wird das Code Signing-Zertifikat auf Keylocker hochgeladen, wo Sie aus der Ferne darauf zugreifen und es mit der Hash-Signierungsmethode signieren können. Das ist schnell, sicher und Sie müssen sich keine Sorgen um die Sicherheit des Zertifikats und des privaten Schlüssels machen. Mehr über Keylocker erfahren Sie unter DigiCert KeyLocker (Cloud HSM).
Bei der Bestellung eines Code Signing-Zertifikats genügt es, als Speicheroption Keylocker auszuwählen. Anschließend erhalten Sie eine Einladung in Ihr DigiCert ONE-Konto, in dem sich auch das ausgestellte Zertifikat befindet. Die Authentifizierung und Kommunikation mit DigiCert ONE lässt sich anschließend bequem per Assistent einrichten. Signieren können Sie weiterhin mit signtool oder einem anderen gewohnten Werkzeug, es stehen Ihnen aber auch die Signierwerkzeuge von DigiCert zur Verfügung.
Die Signierung mit der Hash-Signierungsmethode ist nicht nur am sichersten, sondern auch am schnellsten. Es wird nur der Hash der Datei signiert, nicht die gesamte Datei (wie es signtool tut).
Speicherung auf das HW Token
Es handelt sich um die üblichste Art der Speicherung des Code Signing EV Zertifikats. Momentan nutzen die CAs das Token SafeNet 5110. Es ermöglicht auch andere Zertifikate zu speichern und stellt einen effektiven Schutz vor ihrem Diebstahl dar.
Die Zertifikate sind zusammen mit den privaten Schlüsseln auf dem Token gespeichert und es ist nicht möglich, die Schlüssel zu exportieren. Für die Verwaltung der Zertifikate muss das Token mit einem Passwort entsperrt werden; sollte das Passwort zehnmal falsch eingegeben werden, wird das Token blockiert und nicht mehr nutzbar. Brute-Force Angriffe zum Durchbrechen des Passwortes werden dank dieser Maßnahme ausgeschlossen.
Die technische Spezifizierung des Tokens finden Sie auf dem Web des Herstellers oder in der Produktbeschreibung. Das Token wird auf den folgenden Servern unterstützt: OS Windows Server 2008/R2, Windows Server 2012 und 2012 R2, Windows 7, Mac OS, Linux, Windows 8 und Windows 10. Angeschlossen wird es mit dem Standard-USB Port (USB type A) und der Speicher für Schlüssel beträgt 80k. Es erfüllt die Normierung ISO 7816-1 bis 4.
Speicherung auf HSM (Hardware Security Module)
Das mit der Abkürzung HSM genannte Gerät stellt eine spezialisierte Hardware für Speicherung der Schlüssel, Zertifikate oder anderer kryptographischer Daten (Wikipedia) dar. HSM funktioniert wie ein Server und ebenfalls sieht wie ein Rack-Server aus.
Falls Ihr Unternehmen über diese spezialisierte Hardware verfügt, können Sie sie für die Speicherung der Code Signing (und natürlich auch anderer) Zertifikate anstatt des Tokens nutzen und sich somit den Signierungsprozess vereinfachen (oder ganz automatisieren).
Der Kauf eines HSM ist jedoch keine Voraussetzung, wenn Sie keines besitzen. Sie können die HSM-Speicheroption auch verwenden, wenn Sie Ihr Code Signing-Zertifikat in einer Cloud eines Drittanbieters speichern möchten, z. B. in Azure Key Vault oder ähnlichem. Dies ist möglich, aber der CSR muss aus diesem Tresor stammen.
Die Möglichkeit der Speicherung auf HSM steht Ihnen zur Wahl in der Bestellung des DigiCert Code Signing EV Zertifikats. Rechnen Sie aber bitte damit, dass falls Sie diese Option wählen, wird die CA DigiCert von Ihnen belegen möchten, dass Sie tatsächlich über ein sicheres und auditiertes Gerät verfügen.
Haben Sie Fragen?
Zögern Sie nicht, unseren Kundenservice zu kontaktieren, der Ihnen gerne weiterhilft.
ZONER a.s.
Europaplatz 2/1/2
1150 Wien
Handelsregisternr.: 49437381
USt-IdNr.: CZ49437381
War für Sie dieser Artikel nützlich?
Wir danken Ihnen für Ihr Feedback zu diesem Artikel.
Es tut uns leid, dass Sie hier für Ihren Bedarf nichts Passendes gefunden haben.
Helfen Sie uns, diesen Artikel zu verbessern. Schreiben Sie uns bitte, was Sie hier erwartet und nicht erfahren haben.