Filtro por: code signing certificates x borrar
new

CertCentral: DigiCert KeyGen, our new key generation service

DigiCert is happy to announce our new key generation service—KeyGen. Use KeyGen to generate and install your client and code signing certificates from your browser. KeyGen can be used on macOS and Windows and is supported by all major browsers.

With KeyGen, you don't need to generate a CSR to order your client and code signing certificates. Place your order without a CSR. Then after we process the order and your certificate is ready, DigiCert sends a "Generate your Certificate" email with instructions on using KeyGen to get your certificate.

How does KeyGen work?

KeyGen generates a keypair and then uses the public key to create a certificate signing request (CSR). KeyGen sends the CSR to DigiCert, and DigiCert sends the certificate back to KeyGen. Then KeyGen downloads a PKCS12 (.p12) file to your desktop that contains the certificate and the private key. The password you create during the certificate generation process protects the PKCS12 file. When you use the password to open the certificate file, the certificate gets installed in your personal certificate store.

To learn more about generating client and code signing certificates from your browser, see the following instructions:

new

Verified Mark Certificates (VMC): Three new approved trademark offices

We are happy to announce that DigiCert now recognizes three more intellectual property offices for verifying the logo for your VMC certificate. These new offices are in Korea, Brazil, and India.

New approved trademark offices:

Other approved trademark offices:

What is a Verified Mark Certificate?

Verified Mark Certificates (VMCs) are a new type of certificate that allows companies to place a certified brand logo next to the “sender” field in customer inboxes.

  • Your logo is visible before the message is opened.
  • Your logo acts as confirmation of your domain’s DMARC status and your organization’s authenticated identity. 

Learn more about VMC certificates.

fix

Bugfix: Code Signing (CS) certificate generation email sent only to CS verified contact

We fixed a bug in the Code Signing (CS) certificate issuance process where we were sending the certificate generation email to only the CS verified contact. This bug only happened when the requestor did not include a CSR with the code signing certificate request.

Now, for orders submitted without a CSR, we send the code signing certificate generation email to:

  • Certificate requestor
  • CS verified contact
  • Additional emails included with the order

Note: DigiCert recommends submitting a CSR with your Code Signing certificate request. Currently, Internet Explorer is the only browser that supports keypair generation. See our knowledgebase article: Keygen support dropped with Firefox 69.

compliance

Industry moves to 3072-bit key minimum RSA code signing certificates

Starting May 27, 2021, to comply with new industry standards for code signing certificates, DigiCert will make the following changes to our code signing certificate process.

  • Stop issuing 2048-bit key code signing certificates
  • Only issue 3072-bit key or stronger code signing certificates
  • Use 4096-bit key intermediate CA and root certificates to issue our code signing certificates.

See Appendix A in the Baseline Requirements for the Issuance and Management of Publicly-Trusted Code Signing Certificates to learn more about these industry changes,

How do these changes affect my existing 2048-bit key certificates?

All existing 2048-bit key size code signing certificates issued before May 27, 2021, will remain active. You can continue to use these certificates to sign code until they expire.

What if I need 2048-bit key code signing certificates?

Take these actions, as needed, before May 27, 2021:

  • Order new 2048-bit key certificates
  • Renew expiring 2048-bit key certificates
  • Reissue 2048-bit key certificates

How do these changes affect my code signing certificate process starting May 27, 2021?

Reissues for code signing certificate

Starting May 27, 2021, all reissued code signing certificates will be:

  • 3072-bit key or stronger. See eTokens for EV code signing certificates and HSMs for EV code signing certificates below.
  • Automatically issued from new intermediate CA and root certificates. See New ICA and root certificates below.

New and renewed code signing certificates

Starting May 27, 2021, all new and renewed code signing certificates will be:

  • 3072-bit key or stronger. See eTokens for EV code signing certificates and HSMs for EV code signing certificates below.
  • Automatically issued from new intermediate CA and root certificates. See New ICA and root certificates below.

CSRs for code signing certificates

Starting May 27, 2021, you must use a 3072-bit RSA key or larger to generate all certificate signing requests (CSR). We will no longer accept 2048-bit key CSRs for code signing certificate requests.

eTokens for EV code signing certificates

Starting May 27, 2021, you must use an eToken that supports 3072-bit keys when you reissue, order, or renew an EV code signing certificate.

  • When you order or renew an EV code signing certificate, DigiCert includes a 3072-bit eToken with your purchase. DigiCert provides an eToken with the Preconfigured Hardware Token provisioning option.
  • When your reissue your EV code signing certificate reissues, you must provide your own 3072-bit eToken. If you don't have one, you will be unable to install your reissued certificate on your eToken.
  • You must have a FIPS 140-2 Level 2 or Common Criteria EAL4+ compliant device.

HSMs for EV code signing certificates

Starting May 27, 2021, you must use an HSM that supports 3072-bit keys. Contact your HSM vendor for more information.

New ICA and root certificates

Starting May 27, 2021, DigiCert will issue all new code signing certificates from our new RSA and ECC intermediate CA and root certificates (new, renewed, and reissued).

RSA ICA and root certificates:

  • DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1
  • DigiCert Trusted Root G4

ECC ICA and root certificates:

  • DigiCert Global G3 Code Signing ECC SHA384 2021 CA1
  • DigiCert Global Root G3

No action is required unless you practice certificate pinning, hard code certificate acceptance, or operate a trust store.

If you do any of these things, we recommend updating your environment as soon as possible. Stop pinning and hard coding ICAs or make the necessary changes to ensure certificates issued from the new ICA certificates are trusted (in other words, they can chain up to their issuing ICA and trusted root certificates).

References

If you have questions or concerns, please contact your account manager or our support team.

compliance

DigiCert dejará de emitir certificados de firma de código SHA-1

El martes 1 de diciembre de 2020 MST, DigiCert dejará de emitir certificados de firma de código SHA-1 y certificados EV de firma de código SHA-1.

Nota: Todos los certificados de firma de código SHA-1/certificados EV de firma de código existentes seguirán activos hasta que caduquen.

¿Por qué DigiCert está haciendo estos cambios?

Para cumplir con los nuevos estándares de la industria, las autoridades de certificados (CA) deben hacer los siguientes cambios antes del 1 de enero de 2021:

  • Dejar de emitir certificados de firma de código SHA-1
  • Dejar de usar CA intermedias SHA-1 y certificados raíz SHA-1 para emitir certificados de firma de código de algoritmo SHA-256 y certificados con marca de tiempo

Consulte el Apéndice A en los Requisitos básicos para la emisión y administración de certificados de firma de código con confianza pública.

¿Cómo me afectan los cambios a los certificados de firma de código SHA-1?

Si se basa en los certificados de firma de código SHA-1, tome estas medidas según sea necesario antes del 1 de diciembre de 2020:

  • Obtenga sus nuevos certificados SHA-1
  • Renueve sus certificados SHA-1
  • Vuelva a emitir y obtenga los certificados SHA-1 necesarios

Para obtener más información sobre los cambios del 1 de diciembre de 2020, consulte nuestro artículo de la base de conocimientos DigiCert dejará de emitir certificados de firma de código SHA-1.

Si tiene preguntas adicionales, póngase en contacto con su gestor de cuenta o con nuestro equipo de asistencia.

compliance

Microsoft dejará de ser compatible con las firmas digitales de encapsulados de controladores en modo kernel de terceros

El proceso de firma de sus encapsulados de controladores en modo kernel cambiará. A partir de 2021, Microsoft será el único proveedor de firmas de código en modo kernel de producción. Deberá comenzar a seguir las instrucciones de actualización de Microsoft para firmar cualesquier encapsulados de controladores en modo kernel nuevos en lo sucesivo. Consulte el Centro de socios para soporte lógico de Windows.

¿Qué hará DigiCert al respecto de esto?

Como primer paso del proceso de extinción de la compatibilidad, DigiCert ha eliminado la opción plataforma de código en modo kernel de Microsoft de los formularios de solicitud de certificados de firma de código: nuevos, reemisiones y renovaciones.

Esto significa que, en lo sucesivo, no podrá pedir, reemitir ni renovar un certificado de firma de código para una plataforma en modo kernel.

¿Cómo se verán afectados mis certificados de firma de código en modo kernel?

Puede seguir usando sus certificados que ya existen para firmar encapsulados de controladores en modo kernel hasta que venza la raíz cofirmada con la que están enlazados. Los certificados raíz cofirmados de la marca DigiCert vencen en 2021.

Para obtener más información, consulte nuestro artículo de consulta, Microsoft dejará de ser compatible con los certificados raíz cofirmados con las capacidades de firma en modo kernel.

compliance

Firefox pone coto a su compatibilidad con la creación de claves

A partir del lanzamiento de Firefox 69, Firefox finalmente dejará de ser compatible con Keygen. Firefox usa Keygen para facilitar la creación de materiales clave para enviar la clave pública a la hora de crear certificados de firma de código, de cliente y de SMIME en su navegador.

Nota: Chrome ya había eliminado su compatibilidad con la creación de claves, y Edge y Opera nunca fueron compatibles con ella.

¿Cómo lo afecta esto?

Luego de que DigiCert emita su certificado de firma de código, de cliente o de SMIME, le enviaremos un correo electrónico con un enlace para crear e instalar su certificado.

Cuando se lance Firefox 69, solo podrá usar dos navegadores para crear estos certificados: Internet Explorer y Safari. Si la política de la empresa le exige que use Firefox, puede usar Firefox ESR o una copia portátil de Firefox.

Para obtener más información, consulte Keygen no será compatible con Firefox 69.

Consejos y trucos

  • Podrá seguir usando Firefox 69 para la autenticación de clientes. En primer lugar, genere un certificado SMIME en IE 11 o Safari. Luego importe el certificado SMIME a Firefox.
  • Para evitar generar certificados de firma de código, de cliente o SMIME en su navegador, genere y envíe una CSR junto con su pedido. En lugar de un enlace, DigiCert le enviará un correo electrónico con su certificado adjunto.
new

Agregamos un nuevo estado, Enviado por correo electrónico al destinatario,, a las páginas Pedidos e Información del pedido, para los pedidos de certificados de firma de código y del cliente, lo que hace que sea más fácil reconocer en qué etapa del proceso de emisión están estos pedidos.

Con este nuevo estado se indica que DigiCert ha validado el pedido, y el certificado está a la espera de que el usuario/destinatario del correo electrónico lo genere en uno de los navegadores compatibles: IE 11, Safari, Firefox 68 y Firefox portable.

(En el menú lateral, haga clic en Certificados > Pedidos. Luego, en la página Pedidos, haga clic en el número de pedido del pedido de certificado de firma de código o del cliente).

enhancement

Hemos actualizado nuestros procesos de reemisión de certificados de firma de código (CS) con validación extendida (EV) y de firma de documento (DS) para que pueda volver a emitir esos certificados sin revocar de manera automática el certificado actual (certificado original o ya reemitido).

Nota: Si no necesita el certificado actual (certificado original o ya reemitido), deberá comunicarse con el servicio técnico para que lo revoquen por usted.

Ahora, la próxima vez que vuelva a emitir un certificado EV CS o DS, podrá hacer que el certificado ya emitido se mantenga activo hasta que termine su período de validez vigente (o durante el período que lo necesite).

enhancement

DigiCert continuará siendo compatible con la firma SHA1 para certificados de firma de código. Eliminaremos la restricción máxima de vencimiento del 30 de diciembre de 2019.