Sicherheit ist in der heutigen digitalen Welt von entscheidender Bedeutung, insbesondere beim Schutz der privaten Schlüssel von Codesignaturzertifikaten . Entwickler nutzen seit Jahren Codesignaturzertifikate, um die Authentizität, Integrität und Vertrauenswürdigkeit ihrer Softwareanwendungen sicherzustellen. Die zugehörigen privaten Schlüssel waren jedoch aufgrund fehlender strenger Richtlinien und Bestimmungen nicht ausreichend geschützt.
In diesem Blogbeitrag werden wir uns eingehend mit den kürzlich vom Certificate Authority/Browser (CA/B) Forum veröffentlichten Aktualisierungen der Baseline Requirements for Code Signing Certificates befassen, die ab dem 1. Juni 2023 umgesetzt werden müssen.
Die Anforderungen des CA/Browser Forums für die Codesignierung in Kürze: Seit dem 1. Juni 2023 müssen die privaten Schlüssel von Abonnenten für öffentlich vertrauenswürdige Codesignierungszertifikate in einem HSM oder einem gleichwertigen Sicherheitsmechanismus (FIPS 140-2 Level 2 oder Common Criteria EAL 4+) geschützt werden – dies ist eine zwingende Vorgabe und keine Empfehlung. Seit dem 1. März 2026 ist gemäß Wahlvorschlag CSC-31 die Gültigkeitsdauer neu ausgestellter Zertifikate auf 460 Tage begrenzt, zuvor waren es maximal 39 Monate.
Wichtige Erkenntnisse
- Dies sind zwingende Anforderungen für öffentlich vertrauenswürdige Zertifikate, die von Zertifizierungsstellen durchgesetzt werden, keine optionalen Empfehlungen, denen Organisationen in ihrem eigenen Tempo folgen können.
- Die Gültigkeitsdauerbegrenzung von 460 Tagen macht die Zeitstempelung funktional unerlässlich: Ohne sie stellt die signierte Software die Überprüfung ein, wenn das Zertifikat abläuft, und Zertifikate laufen jetzt etwa alle 15 Monate statt alle 3 Jahre ab.
- Die Aufhebung eines bestätigten Kompromittierungsfalls eines Zertifikats muss gemäß den Anforderungen des CA/Browser Forums innerhalb von 24 Stunden erfolgen. Diese Frist setzt einen einstudierten Aufhebungsprozess voraus und nicht einen, der während eines Vorfalls improvisiert wird.
Was sind CA/B-Forum-Updates?
Das CA/Browser Forum, ein Zusammenschluss von Zertifizierungsstellen (CAs) und Browserherstellern, überarbeitet regelmäßig seine Richtlinien und Anforderungen, um die Sicherheit digitaler Zertifikate zu verbessern . In einem kürzlich erschienenen Update führte das Forum neue, verbindliche Anforderungen speziell für private Schlüssel von Code-Signatur-Zertifikaten ein. Diese verbindlichen Anforderungen sind keine optionalen Empfehlungen und dienen dazu, aufkommende Sicherheitsbedrohungen zu bekämpfen und die allgemeine Sicherheit des Code-Signatur- Ökosystems zu stärken.
Ab dem 1. Juni 2023 ist es verpflichtend, die privaten Schlüssel von Abonnenten, die mit Codesignaturzertifikaten verknüpft sind, mithilfe eines Hardware-Kryptomoduls zu schützen, das entweder den Anforderungen von FIPS 140-2 Level 2 oder Common Criteria EAL 4+ entspricht. Abonnenten müssen einen der zugelassenen Ansätze zur Generierung und Sicherung ihrer privaten Schlüssel für Codesignaturzertifikate auswählen.
-
Option 1
Verwenden Sie ein von ihnen betriebenes Hardware-Kryptomodul, das den vorgeschriebenen Standards entspricht.
-
Option 2
Setzen Sie eine Cloud-basierte Lösung zur Schlüsselgenerierung und zum Schutz ein, die die folgenden Kriterien erfüllt:
- Hält private Schlüssel innerhalb der sicheren Grenzen des Hardware-Kryptomoduls der Cloud-Plattform und erfüllt die angegebenen Anforderungen.
- Protokolliert alle Zugriffe, Vorgänge und Konfigurationsänderungen im Zusammenhang mit den Ressourcen, die den privaten Schlüssel sichern.
-
Option 3
Nutzen Sie einen Signaturdienst, der die festgelegten Grundanforderungen erfüllt.
Darüber hinaus müssen die Zertifizierungsstellen mithilfe einer der folgenden Methoden überprüfen, ob der private Schlüssel des Teilnehmers in einem geeigneten Hardware-Kryptomodul generiert, gespeichert und verwendet wird:
- Die CA stellt ein Hardware-Kryptomodul mit vorgenerierten Schlüsselpaaren bereit.
- Der Abonnent verwendet die Schlüsselbescheinigung, um die sichere Generierung des privaten Schlüssels in einem Hardware-Kryptomodul zu überprüfen.
- Der Abonnent verwendet eine vorgeschriebene Kryptobibliothek und ein geeignetes Hardware-Kryptomodul zur Schlüsselpaargenerierung und -speicherung.
- Der Abonnent legt einen IT-Auditbericht vor, der die ausschließliche Verwendung eines geeigneten Hardware-Kryptomoduls zur Schlüsselpaargenerierung von Code Signing-Zertifikaten bestätigt.
- Der Abonnent stellt einen Bericht seiner Cloud-basierten Schlüsselschutzlösung bereit, der die sichere Konfiguration der Ressourcen zum Schutz des privaten Schlüssels demonstriert.
- Die CA stützt sich auf einen von einem zugelassenen Prüfer unterzeichneten Bericht, der die Erstellung des Schlüsselpaars in einem geeigneten Hardware-Kryptomodul, einschließlich Cloud-basierter Lösungen, bestätigt.
- Der Abonnent legt eine Vereinbarung vor, in der er sich zur Nutzung eines Signaturdienstes verpflichtet, der die Anforderungen erfüllt.
Gültigkeit, Zeitstempel und Widerruf von Zertifikaten
Die oben genannte Anforderung zum Schutz von HSM-Schlüsseln ist nicht die einzige Änderung. Gemäß der Abstimmung CSC-31 ist die Gültigkeitsdauer öffentlich vertrauenswürdiger Code-Signaturzertifikate, die ab dem 1. März 2026 ausgestellt werden, auf 460 Tage (etwa 15 Monate) begrenzt – eine deutliche Reduzierung gegenüber der zuvor geltenden Höchstgrenze von 39 Monaten. Dies hat direkte Auswirkungen auf den Betrieb:
- Die Zeitstempelung wird funktional unerlässlich. Da Zertifikate nun etwa alle 15 Monate statt alle 3 Jahre ablaufen, verliert Software, die ohne Zeitstempel signiert wurde, ihre Gültigkeit deutlich früher, als Unternehmen es gewohnt sind. Jede Signatur sollte daher einen RFC-3161-Zeitstempel enthalten, damit ihre Gültigkeit auf der Gültigkeit des Zertifikats zum Zeitpunkt der Signierung und nicht zum Zeitpunkt der Installation basiert.
- Erneuerungszyklen müssen etwa doppelt so häufig erfolgen. Ein Zertifikatsverwaltungsprozess, der auf einem dreijährigen Erneuerungszyklus basiert, muss auf einen unterjährigen Zyklus umgestellt werden, um eine Lücke in der Signierfähigkeit zu vermeiden.
- Der Widerruf gilt weiterhin innerhalb von 24 Stunden nach bestätigter Kompromittierung. Ungeachtet der verbleibenden Gültigkeitsdauer des Zertifikats ändert eine kürzere Gültigkeitsdauer nichts an dieser Anforderung.
Wie können Sie die Vorschriften einhalten?
Um die Einhaltung dieser Updates sicherzustellen und die Sicherheit ihrer digitalen Zertifikate zu verbessern, sollten Unternehmen die folgenden Schritte unternehmen:
-
Überprüfen Sie die Anforderungen
Lesen Sie die aktualisierten Empfehlungen des CA/Browser-Forums gründlich durch, um die spezifischen Anforderungen und Änderungen im Zusammenhang mit privaten Schlüsseln für Code Signing-Zertifikate zu verstehen.
-
Bewerten Sie die vorhandene Infrastruktur
Organisationen müssen ihre bestehende Infrastruktur überprüfen und ihre Methoden zur Generierung und zum Schutz privater Schlüssel für Codesignaturzertifikate ermitteln. Diese Bewertung hilft dabei, Lücken oder Bereiche aufzudecken, die geschlossen werden müssen, um die neuen Richtlinien zu erfüllen.
-
Wählen Sie einen geeigneten Ansatz
Organisationen müssen einen der im Blog genannten genehmigten Ansätze zum Generieren und Sichern ihrer privaten Schlüssel für Code Signing-Zertifikate auswählen.
Checkliste für Compliance-Audits
- Der private Schlüssel wird in einem HSM oder einem gleichwertigen System (mindestens FIPS 140-2 Level 2 / Common Criteria EAL 4+) gespeichert und über eine der sieben oben genannten CA-Verifizierungsmethoden verifiziert.
- Die Gültigkeitsdauer der Zertifikate beträgt maximal 460 Tage für alle Zertifikate, die am oder nach dem 1. März 2026 ausgestellt wurden.
- Jeder Signiervorgang beinhaltet einen RFC 3161-Zeitstempel.
- Ein einstudiertes, dokumentiertes Widerrufsverfahren, das die 24-Stunden-Frist nach bestätigter Kompromittierung erfüllt.
- Die Verlängerung wurde weit vor dem kürzeren Gültigkeitszeitraum geplant und nicht reaktiv verwaltet.
Möchten Sie wissen, wie wir Ihnen helfen können?
CodeSign Secure von Encryption Consulting bietet Unternehmen eine umfassende Codesignatur-Lösung, die auf ihre individuellen Anforderungen zugeschnitten ist. Mit dieser Lösung können Unternehmen eine starke Codesignatur-Richtlinie etablieren, die Sicherheitsrisiken effektiv minimiert und die Authentizität ihrer Software gewährleistet. Unser Produkt optimiert den Codesignatur-Prozess und bietet eine Reihe von Funktionen zur Erhöhung der Sicherheit.
Ein zentrales Merkmal von CodeSign Secure ist die sichere Schlüsselverwaltung . Es ermöglicht Unternehmen, die privaten Schlüssel ihres Codesignaturzertifikats sicher zu speichern, indem es sich in branchenführende, FIPS-zertifizierte Hardware-Sicherheitsmodule (HSMs) integriert . Diese Integration eliminiert die potenziellen Risiken gestohlener, beschädigter oder missbrauchter Schlüssel, da die privaten Schlüssel während des Codesignaturvorgangs das HSM niemals verlassen.
Häufig gestellte Fragen
Handelt es sich bei der HSM-Anforderung um eine Empfehlung oder eine zwingende Vorgabe?
Eine zwingende Voraussetzung. Seit dem 1. Juni 2023 müssen Zertifizierungsstellen überprüfen, ob der private Schlüssel eines Teilnehmers in einem geeigneten Hardware-Kryptomodul geschützt ist, bevor sie ein öffentlich vertrauenswürdiges Codesignaturzertifikat ausstellen; dies ist keine optionale Empfehlung.
Gilt die Gültigkeitsdauerbegrenzung von 460 Tagen auch für Zertifikate, die vor dem 1. März 2026 ausgestellt wurden?
Die Obergrenze gilt für Zertifikate, die am oder nach diesem Datum im Rahmen der Abstimmung CSC-31 ausgestellt wurden. Zertifikate, die bereits unter den vorherigen Gültigkeitsbedingungen ausgestellt wurden, behalten ihre ursprüngliche Gültigkeitsdauer bis zur Verlängerung.
Verringert eine kürzere Gültigkeitsdauer des Zertifikats die 24-Stunden-Frist für den Widerruf?
Nein. Die Widerrufsfrist von 24 Stunden nach bestätigter Kompromittierung des Schlüssels gilt unabhängig von der verbleibenden Gültigkeitsdauer des Zertifikats; die beiden Anforderungen sind unabhängig voneinander.
Fazit
Zusammenfassend betonen die jüngsten Aktualisierungen der Basisanforderungen für Code Signing-Zertifikate durch das CA/Browser-Forum die Bedeutung des Schutzes privater Schlüssel für Code Signing-Zertifikate. Unternehmen müssen sich an diese Aktualisierungen anpassen, indem sie robuste Maßnahmen ergreifen, beispielsweise den Einsatz von Hardware-Kryptomodulen, die die Anforderungen der Standards FIPS 140-2 Level 2 oder Common Criteria EAL 4+ nicht nur erfüllen, sondern übertreffen. Unternehmen können das Vertrauen, die Integrität und die Authentizität ihrer Softwareanwendungen stärken, indem sie der Sicherheit privater Schlüssel für Code Signing-Zertifikate Priorität einräumen.
