Beveiliging is cruciaal in de huidige digitale wereld, vooral als het gaat om de bescherming van de privésleutels van codeondertekeningscertificaten . Ontwikkelaars gebruiken al jaren codeondertekeningscertificaten om de authenticiteit, integriteit en betrouwbaarheid van hun softwareapplicaties te waarborgen. De privésleutels die bij deze certificaten horen, werden echter onvoldoende beschermd door een gebrek aan strikte beleidsregels en richtlijnen.
In deze blog gaan we dieper in op de recente updates van de basisvereisten voor codeondertekeningscertificaten door het Certificate Authority/Browser (CA/B) Forum, die vanaf 1 juni 2023 van kracht moeten zijn.
De vereisten voor codeondertekening van het CA/Browser Forum, kort samengevat: sinds 1 juni 2023 moeten de privésleutels van abonnees voor publiekelijk vertrouwde codeondertekeningscertificaten worden beschermd in een HSM of een equivalent daarvan (FIPS 140-2 niveau 2 of Common Criteria EAL 4+) — dit is een verplichting, geen aanbeveling. Sinds 1 maart 2026, onder stemming CSC-31, is de geldigheidsduur van nieuw uitgegeven certificaten bovendien beperkt tot 460 dagen, in plaats van de vorige limiet van 39 maanden.
Key Takeaways
- Dit zijn verplichte vereisten voor publiekelijk vertrouwde certificaten, die worden afgedwongen door certificeringsinstanties (CA's), en geen optionele aanbevelingen die organisaties naar eigen inzicht kunnen opvolgen.
- De maximale geldigheidsduur van 460 dagen maakt tijdstempeling essentieel: zonder tijdstempeling controleert ondertekende software niet langer wanneer het certificaat verloopt, waardoor certificaten nu ongeveer elke 15 maanden in plaats van elke 3 jaar verlopen.
- Volgens de eisen van het CA/Browser Forum moet een certificaat dat aantoonbaar is gecompromitteerd, binnen 24 uur worden ingetrokken. Deze termijn gaat uit van een geoefend intrekkingsproces, en niet van een geĂŻmproviseerde procedure tijdens een incident.
Wat zijn CA/B Forum-updates?
Het CA/Browser Forum, een consortium van certificeringsinstanties (CA's) en browserleveranciers, herziet periodiek zijn richtlijnen en vereisten om de beveiliging van digitale certificaten te verbeteren . In een recente update introduceerde het forum nieuwe verplichte vereisten specifiek voor de privésleutels van codeondertekeningscertificaten. Dit zijn bindende vereisten, geen optionele aanbevelingen, die gericht zijn op het aanpakken van opkomende beveiligingsrisico's en het versterken van de algehele beveiliging van het codeondertekeningsecosysteem.
Vanaf 1 juni 2023 is het verplicht dat de privésleutels van abonnees die gekoppeld zijn aan codeondertekeningscertificaten, worden beschermd met een hardwarematige cryptografische module die voldoet aan de FIPS 140-2 Level 2- of Common Criteria EAL 4+-vereisten. Abonnees moeten een van de goedgekeurde methoden kiezen voor het genereren en beveiligen van hun privésleutels voor codeondertekeningscertificaten:
-
Option 1
Gebruik een Hardware Crypto Module die door hen wordt beheerd en die voldoet aan de voorgeschreven normen.
-
Option 2
Maak gebruik van een cloudgebaseerde oplossing voor sleutelgeneratie en -beveiliging die voldoet aan de volgende criteria:
- Houdt privésleutels binnen de beveiligde grenzen van de hardwarecryptiemodule van het cloudplatform en voldoet aan de opgegeven vereisten.
- Registreert alle toegang, bewerkingen en configuratiewijzigingen met betrekking tot de bronnen die de persoonlijke sleutel beveiligen.
-
Option 3
Maak gebruik van een ondertekeningsservice die voldoet aan de vastgestelde basisvereisten.
Bovendien moeten CA's verifiëren of de persoonlijke sleutel van de abonnee wordt gegenereerd, opgeslagen en gebruikt in een geschikte hardwarecryptiemodule met behulp van een van de volgende methoden:
- De CA biedt een hardwarecryptiemodule met vooraf gegenereerde sleutelparen.
- De abonnee gebruikt sleutelattestatie om de veilige generatie van de persoonlijke sleutel in een hardwarecryptiemodule te verifiëren.
- De abonnee gebruikt een voorgeschreven cryptobibliotheek en een geschikte hardwarecryptiemodule voor het genereren en opslaan van sleutelparen.
- De abonnee presenteert een IT-auditrapport waarin wordt bevestigd dat uitsluitend een geschikte hardwarecryptiemodule wordt gebruikt voor het genereren van sleutelparen voor codeondertekeningscertificaten.
- De abonnee verstrekt een rapport van zijn op de cloud gebaseerde oplossing voor sleutelbescherming, waarin de veilige configuratie van bronnen voor de bescherming van de privésleutel wordt gedemonstreerd.
- De CA vertrouwt op een rapport, ondertekend door een erkende auditor, waarin de aanmaak van sleutelparen in een geschikte hardwarecryptiemodule wordt bevestigd, inclusief cloudgebaseerde oplossingen.
- De abonnee verstrekt een overeenkomst waarin hij akkoord gaat met het gebruik van een ondertekeningsservice die voldoet aan de vereisten.
Geldigheid, tijdstempeling en intrekking van het certificaat
De bovengenoemde vereiste voor HSM-sleutelbescherming is niet de enige wijziging. Volgens Ballot CSC-31 is de geldigheidsduur van publiekelijk vertrouwde codeondertekeningscertificaten die op of na 1 maart 2026 worden uitgegeven, beperkt tot 460 dagen (ongeveer 15 maanden), een aanzienlijke verlaging ten opzichte van de voorheen geldende limiet van 39 maanden. Dit heeft directe operationele gevolgen:
- Tijdstempels worden functioneel essentieel. Omdat certificaten nu ongeveer elke 15 maanden verlopen in plaats van elke 3 jaar, zal software die zonder tijdstempel is ondertekend veel eerder niet meer worden geverifieerd dan organisaties gewend zijn. Elke handtekening moet een RFC 3161-tijdstempel bevatten, zodat deze geldig blijft op basis van de geldigheid van het certificaat op het moment van ondertekening, en niet op het moment van installatie.
- Vernieuwingscycli moeten ongeveer twee keer zo vaak plaatsvinden. Een certificaatbeheerproces dat is gebaseerd op een vernieuwingscyclus van 3 jaar, zal moeten worden aangepast naar een cyclus van minder dan eens per jaar om een ​​hiaat in de ondertekeningsbevoegdheid te voorkomen.
- De intrekking blijft van kracht binnen 24 uur na bevestiging van de inbreuk. ongeacht hoeveel geldigheidsduur het certificaat nog heeft. Een kortere geldigheidsperiode versoepelt deze eis niet.
Hoe kunt u compliant blijven?
Om te garanderen dat ze voldoen aan deze updates en de beveiliging van hun digitale certificaten te verbeteren, moeten organisaties de volgende stappen ondernemen:
-
Bekijk de vereisten
Bestudeer de bijgewerkte aanbevelingen van het CA/Browser Forum grondig om inzicht te krijgen in de specifieke vereisten en wijzigingen met betrekking tot privésleutels van codeondertekeningscertificaten.
-
Bestaande infrastructuur beoordelen
Organisaties moeten hun huidige infrastructuur evalueren en hun methoden voor het genereren en beschermen van privésleutels voor codeondertekeningscertificaten in kaart brengen. Deze evaluatie helpt bij het identificeren van lacunes of verbeterpunten om te voldoen aan de nieuwe richtlijnen.
-
Selecteer een geschikte aanpak
Organisaties moeten een van de goedgekeurde benaderingen kiezen die in de blog worden genoemd om hun privésleutels voor codeondertekeningscertificaten te genereren en te beveiligen.
Checklist voor nalevingsaudit
- De privésleutel is opgeslagen in een HSM of een equivalent daarvan (minimaal FIPS 140-2 niveau 2 / Common Criteria EAL 4+), en is geverifieerd via een van de zeven CA-verificatiemethoden hierboven.
- De geldigheid van het certificaat is bevestigd op maximaal 460 dagen voor elk certificaat dat is afgegeven op of na 1 maart 2026.
- Elke ondertekeningsbewerking bevat een RFC 3161-tijdstempel.
- Een geoefende, gedocumenteerde intrekkingsprocedure die voldoet aan de 24-uursvereiste na bevestigde inbreuk.
- De verlenging is ruim van tevoren ingepland, vóór het verstrijken van de kortere geldigheidsperiode, en wordt niet achteraf afgehandeld.
Wilt u weten hoe wij u kunnen helpen?
CodeSign Secure van Encryption Consulting biedt organisaties een complete oplossing voor codeondertekening, afgestemd op hun specifieke behoeften. Met deze oplossing kunnen organisaties een sterk beleid voor codeondertekening opstellen dat beveiligingsrisico's effectief beperkt en de authenticiteit van hun software waarborgt. Ons product stroomlijnt het codeondertekeningsproces en biedt een reeks functies die zijn ontworpen om de beveiliging te verbeteren.
Een belangrijk kenmerk van CodeSign Secure is het veilige sleutelbeheer . Organisaties kunnen hiermee hun privésleutels van het codeondertekeningscertificaat veilig opslaan door integratie met toonaangevende, FIPS-gecertificeerde Hardware Security Modules (HSM's) . Deze integratie elimineert de potentiële risico's van gestolen, beschadigde of misbruikte sleutels, omdat de privésleutels de HSM tijdens het ondertekeningsproces nooit verlaten.
Veelgestelde Vragen / FAQ
Is de HSM-vereiste een aanbeveling of een bindende vereiste?
Een strikte vereiste. Sinds 1 juni 2023 moeten certificeringsinstanties controleren of de privésleutel van een abonnee is beschermd in een geschikte hardwarematige cryptografische module voordat ze een publiekelijk vertrouwd codeondertekeningscertificaat afgeven; dit is geen optionele richtlijn.
Geldt de maximale geldigheidsduur van 460 dagen ook voor certificaten die vóór 1 maart 2026 zijn uitgegeven?
De limiet geldt voor certificaten die op of na die datum zijn uitgegeven onder stembiljet CSC-31. Certificaten die al onder de vorige geldigheidsperiode zijn uitgegeven, behouden hun oorspronkelijke vervaldatum tot de verlenging.
Vermindert een kortere geldigheidsperiode van het certificaat de verplichting tot intrekking binnen 24 uur?
Nee. Intrekking binnen 24 uur na bevestigde inbreuk op de sleutel is van toepassing ongeacht de resterende geldigheidsduur van het certificaat; de twee vereisten staan ​​los van elkaar.
Conclusie
Concluderend benadrukken de recente updates van de Baseline Requirements for Code Signing Certificates door het CA/Browser Forum het belang van de bescherming van de privésleutels van codeondertekeningscertificaten. Organisaties moeten zich aanpassen aan deze updates door robuuste maatregelen te implementeren, zoals het gebruik van hardwarecryptomodules die niet alleen voldoen aan, maar zelfs overtreffen, de vereisten van FIPS 140-2 Level 2 of Common Criteria EAL 4+. Organisaties kunnen het vertrouwen, de integriteit en de authenticiteit van hun softwareapplicaties versterken door prioriteit te geven aan de beveiliging van de privésleutels van codeondertekeningscertificaten.
