Vilka är kraven för privata nycklar till kodsigneringscertifikat på CA/Browserforum? Är du förberedd?

Säkerhet är avgörande i dagens digitala värld, särskilt när det gäller skydd av samdesigncertifikat privata nycklar. Under årens lopp har utvecklare använt kodsigneringscertifikat för att fastställa sina programvarors äkthet, integritet och tillförlitlighet. De privata nycklarna som är kopplade till kodsigneringscertifikatet skyddades dock inte tillräckligt på grund av brist på strikta policyer och riktlinjer.

I den här bloggen kommer vi att fördjupa oss i de senaste uppdateringarna av grundkraven för kodsigneringscertifikat från certifikatutfärdarforumet (CA/B), vilka måste implementeras från och med den 1^st Juni 2023.

Vad är uppdateringar från CA/B-forumet?

CA/Browser Forum, ett konsortium av certifikatmyndigheter (CA) och webbläsarleverantörer, reviderar regelbundet sina riktlinjer och krav för att förbättra säkerheten för digitala certifikatI en nyligen genomförd uppdatering introducerade forumet nya rekommendationer specifikt inriktade på kodsignering av privata nycklar för certifikat. Dessa uppdateringar syftar till att hantera nya säkerhetshot och stärka den övergripande säkerhetsställningen för kodsignering ekosystem.

Från och med den 1 juni 2023 är det obligatoriskt att prenumeranternas privata nycklar som är associerade med kodsigneringscertifikat skyddas med en hårdvarukryptomodul som uppfyller antingen FIPS Krav enligt 140-2 Nivå 2 eller Common Criteria EAL 4+. Prenumeranter måste välja en av de godkända metoderna för att generera och säkra sina privata nycklar för kodsigneringscertifikat:

1. Alternativet 1

   Använd en hårdvarukryptomodul som drivs av dem och som följer de föreskrivna standarderna.

2. Alternativet 2

   Använd en molnbaserad lösning för nyckelgenerering och skydd som uppfyller följande kriterier:

   • Håller privata nycklar inom de säkra gränserna för molnplattformens hårdvarukryptomodul, och uppfyller de angivna kraven.
   • Loggar all åtkomst, alla åtgärder och konfigurationsändringar relaterade till resurserna som skyddar den privata nyckeln.

3. Alternativet 3

   Använd en signeringstjänst som uppfyller de fastställda grundkraven.

Dessutom ska CA:er verifiera att prenumerantens privata nyckel genereras, lagras och används i en lämplig hårdvarukrypteringsmodul med hjälp av en av följande metoder:

1. CA tillhandahåller en hårdvarukrypteringsmodul med förgenererade nyckelpar.
2. Prenumeranten använder nyckelattestering för att verifiera den privata nyckelns säkra generering i en hårdvarukrypteringsmodul.
3. Prenumeranten använder ett föreskrivet kryptobibliotek och en lämplig hårdvarukryptomodul för generering och lagring av nyckelpar.
4. Prenumeranten uppvisar en IT-revisionsrapport som bekräftar exklusiv användning av en lämplig hårdvarukryptomodul för nyckelpargenerering av kodsigneringscertifikat.
5. Prenumeranten tillhandahåller en rapport från sin molnbaserade nyckelskyddslösning som visar den säkra konfigurationen av resurser som skyddar den privata nyckeln.
6. CA förlitar sig på en rapport, undertecknad av en godkänd revisor, som bekräftar skapandet av nyckelpar i en lämplig hårdvarukryptomodul, inklusive molnbaserade lösningar.
7. Prenumeranten tillhandahåller ett avtal som innebär att han/hon samtycker till att använda en signeringstjänst som uppfyller kraven.

Hur kan du förbli följsam?

För att säkerställa efterlevnad av dessa uppdateringar och förbättra säkerheten för sina digitala certifikat bör organisationer vidta följande åtgärder:

• Granska kraven

  Studera noggrant de uppdaterade rekommendationerna som CA/Browser Forum har tillhandahållit för att förstå de specifika kraven och ändringarna relaterade till privata nycklar för kodsigneringscertifikat.

• Bedöm befintlig infrastruktur

  Organisationer behöver se över sina nuvarande infrastruktur och identifiera deras metoder för att generera och skydda privata nycklar för kodsigneringscertifikat. Denna bedömning kommer att bidra till att identifiera luckor eller områden som måste åtgärdas för att följa de nya riktlinjerna.

• Välj en lämplig metod

  Organisationer måste välja en av de godkända metoderna som anges i bloggen för att generera och säkra sina privata nycklar för kodsigneringscertifikat.

Vill du veta hur vi kan hjälpa dig?

Krypteringskonsulttjänster CodeSign Secure ger organisationer en heltäckande kodsigneringslösning skräddarsydd för deras unika behov. Genom att använda denna lösning kan organisationer etablera en stark kodsigneringspolicy som effektivt minskar säkerhetsrisker och säkerställer äktheten hos deras programvara. Vår produkt effektiviserar kodsigneringsprocessen och erbjuder en rad funktioner utformade för att förbättra säkerheten.

En viktig funktion i CodeSign Secure är säkerheten nyckelhanteringDet gör det möjligt för organisationer att säkert lagra sina privata nycklar till kodsigneringscertifikatet genom att integrera med branschledande Hårdvarusäkerhetsmoduler (HSM) som är FIPS-certifierade. Denna integration eliminerar de potentiella riskerna i samband med stulna, skadade eller missbrukade nycklar, eftersom de privata nycklarna aldrig lämnar HSM under kodsigneringsoperationen.

Slutsats

Sammanfattningsvis betonar de senaste uppdateringarna av baskraven för kodsigneringscertifikat från CA/Browser Forum vikten av att skydda privata nycklar för kodsigneringscertifikat. Organisationer måste anpassa sig till dessa uppdateringar genom att implementera robusta åtgärder, såsom att använda hårdvarukryptomoduler som inte bara uppfyller utan överträffar kraven i FIPS 140-2 nivå 2 eller Common Criteria EAL 4+-standarderna. Organisationer kan stärka förtroende, integritet och autenticitet i sina programvaruapplikationer genom att prioritera säkerheten för privata nycklar för kodsigneringscertifikat.

Referens: Grundläggande krav för kodsignering