Proteger claves privadas
Mejores prácticas para la firma del código: generar y almacenar claves privadas de forma segura
DigiCert recomienda a los desarrolladores que tomen precauciones a la hora de ejecutar el proceso de firma del código y asegurar las claves privadas vinculadas con sus certificados de firma.
Recomendaciones
Limitar el acceso a las claves
Mantener los controles de acceso a las claves de firma de código y la responsabilidad conexa y limitar la circulación de estas claves. Esto ayudará a que se asuma una responsabilidad estricta sobre el uso de las claves.
Asegure de manera física el dispositivo de almacenamiento de la clave en un contenedor bajo llave
Asegúrese de que los dispositivos de almacenamiento de llaves no se dejan en los escritorios, en cajones sin cerrar o donde puedan ser fácilmente sustraídos o copiados.
Guarde el dispositivo que almacena la clave privada en un cajón del escritorio cerrado con llave, en un armario o detrás de puertas cerradas.
Usar una contraseña segura para la clave privada
Elija una contraseña segura para la clave privada. Requerimos que tenga al menos dieciséis (16) caracteres generados de manera aleatoria y letras en mayúscula, letras en minúscula, números y símbolos para constituirse en una clave privada. No se deben usar palabras de un diccionario, derivados de la identificación del usuario, secuencias de caracteres frecuentes (por ejemplo, "123456"), nombres propios, ubicaciones geográficas, acrónimos frecuentes, jerga, nombres de familiares, fechas de nacimiento, etc.
Almacenamiento seguro de la clave privada
Almacene de manera segura una clave privada usando un dispositivo criptográfico certificado de nivel 2 FIPS 140-2. Estos dispositivos criptográficos no dejan exportar la clave privada. La mayoría de estos dispositivos tiene un sistema multifactorial de identificación.
Certificado de firma de prueba frente a certificado de firma de versión
Microsoft recomienda usar un certificado de firma de prueba diferente para firmar el código de versión previa. El certificado de firma de la prueba solo es fiable en el entorno de la prueba. Los certificados de firma de pruebas pueden ser certificados mediante firma automática o venir de una CA de prueba interna.
Información adicional
Para obtener más información, Microsoft ofrece un documento de mejores prácticas sobre firma de códigos.