Sicherheit ist in der heutigen digitalen Welt von entscheidender Bedeutung, insbesondere wenn es um den Schutz von Codesigning-Zertifikat Private Schlüssel. Entwickler haben im Laufe der Jahre Code-Signing-Zertifikate verwendet, um die Authentizität, Integrität und Vertrauenswürdigkeit ihrer Softwareanwendungen zu gewährleisten. Die mit dem Code-Signing-Zertifikat verknüpften privaten Schlüssel waren jedoch aufgrund fehlender strenger Richtlinien und Leitlinien nicht ausreichend geschützt.

In diesem Blog werden wir uns eingehend mit den jüngsten Aktualisierungen der Baseline Requirements für Code Signing Certificates durch das Certificate Authority/Browser (CA/B) Forum befassen, die ab dem 1.^st Juni 2023.

Was sind CA/B-Forum-Updates?

Das CA/Browser Forum, ein Konsortium aus Zertifizierungsstellen (CAs) und Browser-Anbieter, überarbeitet regelmäßig seine Richtlinien und Anforderungen, um die Sicherheit von digitale Zertifikate. In einem kürzlich veröffentlichten Update hat das Forum neue Empfehlungen speziell für die Codesignatur privater Zertifikatsschlüssel vorgestellt. Diese Updates zielen darauf ab, neue Sicherheitsbedrohungen zu adressieren und die allgemeine Sicherheitslage des Code-Signierung Ökosystem.

Ab dem 1. Juni 2023 ist es für Abonnenten von Code Signing-Zertifikaten obligatorisch, private Schlüssel mit einem Hardware-Kryptomodul zu schützen, das entweder FIPS 140-2 Level 2 oder Common Criteria EAL 4+-Anforderungen. Abonnenten müssen einen der genehmigten Ansätze zum Generieren und Sichern ihrer privaten Schlüssel für das Code Signing-Zertifikat auswählen:

Option 1

Verwenden Sie ein von ihnen betriebenes Hardware-Kryptomodul, das den vorgeschriebenen Standards entspricht.
Option 2

Setzen Sie eine Cloud-basierte Lösung zur Schlüsselgenerierung und zum Schutz ein, die die folgenden Kriterien erfüllt:
- Hält private Schlüssel innerhalb der sicheren Grenzen des Hardware-Kryptomoduls der Cloud-Plattform und erfüllt die angegebenen Anforderungen.
- Protokolliert alle Zugriffe, Vorgänge und Konfigurationsänderungen im Zusammenhang mit den Ressourcen, die den privaten Schlüssel sichern.
Option 3

Nutzen Sie einen Signaturdienst, der die festgelegten Grundanforderungen erfüllt.

Darüber hinaus müssen die Zertifizierungsstellen mithilfe einer der folgenden Methoden überprüfen, ob der private Schlüssel des Teilnehmers in einem geeigneten Hardware-Kryptomodul generiert, gespeichert und verwendet wird:

Die CA stellt ein Hardware-Kryptomodul mit vorgenerierten Schlüsselpaaren bereit.
Der Abonnent verwendet die Schlüsselbescheinigung, um die sichere Generierung des privaten Schlüssels in einem Hardware-Kryptomodul zu überprüfen.
Der Abonnent verwendet eine vorgeschriebene Kryptobibliothek und ein geeignetes Hardware-Kryptomodul zur Schlüsselpaargenerierung und -speicherung.
Der Abonnent legt einen IT-Auditbericht vor, der die ausschließliche Verwendung eines geeigneten Hardware-Kryptomoduls zur Schlüsselpaargenerierung von Code Signing-Zertifikaten bestätigt.
Der Abonnent stellt einen Bericht seiner Cloud-basierten Schlüsselschutzlösung bereit, der die sichere Konfiguration der Ressourcen zum Schutz des privaten Schlüssels demonstriert.
Die CA stützt sich auf einen von einem zugelassenen Prüfer unterzeichneten Bericht, der die Erstellung des Schlüsselpaars in einem geeigneten Hardware-Kryptomodul, einschließlich Cloud-basierter Lösungen, bestätigt.
Der Abonnent legt eine Vereinbarung vor, in der er sich zur Nutzung eines Signaturdienstes verpflichtet, der die Anforderungen erfüllt.

Wie können Sie die Vorschriften einhalten?

Um die Einhaltung dieser Updates sicherzustellen und die Sicherheit ihrer digitalen Zertifikate zu verbessern, sollten Unternehmen die folgenden Schritte unternehmen:

Überprüfen Sie die Anforderungen

Lesen Sie die aktualisierten Empfehlungen des CA/Browser-Forums gründlich durch, um die spezifischen Anforderungen und Änderungen im Zusammenhang mit privaten Schlüsseln für Code Signing-Zertifikate zu verstehen.
Bewerten Sie die vorhandene Infrastruktur

Organisationen müssen ihre aktuellen Infrastruktur und identifizieren Sie ihre Methoden zum Generieren und Schützen privater Schlüssel für Code Signing-Zertifikate. Diese Bewertung hilft dabei, Lücken oder Bereiche zu identifizieren, die behoben werden müssen, um die neuen Richtlinien einzuhalten.
Wählen Sie einen geeigneten Ansatz

Organisationen müssen einen der im Blog genannten genehmigten Ansätze zum Generieren und Sichern ihrer privaten Schlüssel für Code Signing-Zertifikate auswählen.

Möchten Sie wissen, wie wir Ihnen helfen können?

Verschlüsselungsberatung CodeSign Secure bietet Unternehmen eine umfassende, auf ihre individuellen Anforderungen zugeschnittene Code-Signing-Lösung. Mit dieser Lösung können Unternehmen eine starke Code-Signing-Richtlinie etablieren, die Sicherheitsrisiken effektiv minimiert und die Authentizität ihrer Software gewährleistet. Unser Produkt optimiert den Code-Signing-Prozess und bietet zahlreiche Funktionen zur Verbesserung der Sicherheit.

Ein Hauptmerkmal von CodeSign Secure ist die Sicherheit Schlüsselverwaltung. Es ermöglicht Organisationen, ihre privaten Schlüssel des Code-Signatur-Zertifikats sicher zu speichern, indem es mit branchenführenden Hardware-Sicherheitsmodule (HSMs) die FIPS-zertifiziert sind. Diese Integration eliminiert die potenziellen Risiken im Zusammenhang mit gestohlenen, beschädigten oder missbrauchten Schlüsseln, da die privaten Schlüssel während des Code-Signaturvorgangs das HSM nie verlassen.

Fazit

Zusammenfassend betonen die jüngsten Aktualisierungen der Basisanforderungen für Code Signing-Zertifikate durch das CA/Browser-Forum die Bedeutung des Schutzes privater Schlüssel für Code Signing-Zertifikate. Unternehmen müssen sich an diese Aktualisierungen anpassen, indem sie robuste Maßnahmen ergreifen, beispielsweise den Einsatz von Hardware-Kryptomodulen, die die Anforderungen der Standards FIPS 140-2 Level 2 oder Common Criteria EAL 4+ nicht nur erfüllen, sondern übertreffen. Unternehmen können das Vertrauen, die Integrität und die Authentizität ihrer Softwareanwendungen stärken, indem sie der Sicherheit privater Schlüssel für Code Signing-Zertifikate Priorität einräumen.