Private Schlüssel schützen
Code Signing Best-Practices: Sichere Erzeugung und Speicherung privater Schlüssel
Das Unternehmen empfiehlt Entwicklern, Vorsichtsmaßnahmen bei der Implementierung ihres Code-Signierungsprozesses und der Sicherung der mit dem Signaturzertifikat verbundenen privaten Schlüssel zu treffen.
Empfehlungen
Den Zugriff auf Schlüssel beschränken
Unterhalten Sie Zugriffskontrollen und führen Sie Buch über die Code-Signierungsschlüssel und begrenzen Sie ihre Verteilung. Dies wird dazu beitragen, eine strenge Rechenschaftspflicht für die Schlüsselverwendung durchzusetzen.
Sichern Sie physisch das Schlüsselspeichergerät in einem gesperrten Container.
Stellen Sie sicher, dass Schlüsselspeicher nicht auf Schreibtischen, in offenen Schubladen oder an Orten aufbewahrt werden, wo sie frei zugänglich sind oder kopiert werden können.
Bewahren Sie das Gerät zur Speicherung der privaten Schlüssel in einer verschlossenen Schublade,.einem Schrank oder hinter verschlossenen Türen auf.
Verwenden Sie ein starkes Kennwort für den privaten Schlüssel.
Wählen Sie ein starkes Kennwort für den privaten Schlüssel. Es muss aus mindestens sechzehn (16) Zeichen bestehen, die nach dem Zufallsprinzip generiert wurden, und aus Groß- und Kleinbuchstaben, Zahlen und Symbole bestehen. Worte aus einem Wörterbuch, Ableitungen von Benutzer-IDs, gebräuchliche Zeichenfolgen (z. B. 123456), Eigennamen, geografische Bezeichnungen, gebräuchliche Abkürzungen, Umgangssprache, Namen von Familienmitgliedern, Geburtstage usw. dürfen nicht verwendet werden.
Sicherer Speicher für private Schlüssel
Speichern Sie einen privaten Schlüssel sicher mit einem FIPS 140-2 Level 2-zertifizierten Kryptografiegerät. Ein Export des privaten Schlüssels durch diese Kryptografiegeräte ist nicht erlaubt. Die meisten dieser Geräte verfügen über Multi-Faktor-Authentifizierung.
Test-Signing-Zertifikat oder Release-Signing-Zertifikat
Microsoft empfiehlt die Verwendung eines separaten Test-Signing-Zertifikats zum Signieren von Vorabversionscode. Das Test-Signing-Zertifikat ist nur in der Testumgebung vertrauenswürdig. Test-Signing-Zertifikate können selbstsignierte Zertifikate sein oder von einer internen Test ZS kommen.
Weitere Informationen
Weitere Informationen bietet Microsoft in einem Best-Practices-Dokument zur Codesignierung.