DigiCert recomienda a los desarrolladores que tomen precauciones a la hora de ejecutar el proceso de firma del código y asegurar las claves privadas vinculadas con sus certificados de firma.
Mantener los controles de acceso a las claves de firma de código y la responsabilidad conexa y limitar la circulación de estas claves. Esto ayudará a que se asuma una responsabilidad estricta sobre el uso de las claves.
Asegúrese de que los dispositivos de almacenamiento de llaves no se dejan en los escritorios, en cajones sin cerrar o donde puedan ser fácilmente sustraídos o copiados.
Guarde el dispositivo que almacena la clave privada en un cajón del escritorio cerrado con llave, en un armario o detrás de puertas cerradas.
Elija una contraseña segura para la clave privada. Requerimos que tenga al menos dieciséis (16) caracteres generados de manera aleatoria y letras en mayúscula, letras en minúscula, números y símbolos para constituirse en una clave privada. No se deben usar palabras de un diccionario, derivados de la identificación del usuario, secuencias de caracteres frecuentes (por ejemplo, "123456"), nombres propios, ubicaciones geográficas, acrónimos frecuentes, jerga, nombres de familiares, fechas de nacimiento, etc.
Almacene de manera segura una clave privada usando un dispositivo criptográfico certificado de nivel 2 FIPS 140-2. Estos dispositivos criptográficos no dejan exportar la clave privada. La mayoría de estos dispositivos tiene un sistema multifactorial de identificación.
Microsoft recomienda usar un certificado de firma de prueba diferente para firmar el código de versión previa. El certificado de firma de la prueba solo es fiable en el entorno de la prueba. Los certificados de firma de pruebas pueden ser certificados mediante firma automática o venir de una CA de prueba interna.
Para obtener más información, Microsoft ofrece un documento de mejores prácticas sobre firma de códigos.