Proteger claves privadas

DigiCert recomienda a los desarrolladores que tomen precauciones a la hora de ejecutar el proceso de firma del código y asegurar las claves privadas vinculadas con sus certificados de firma.

Mantener los controles de acceso a las claves de firma de código y la responsabilidad conexa y limitar la circulación de estas claves. Esto ayudará a que se asuma una responsabilidad estricta sobre el uso de las claves.

• Velar por que los dispositivos de almacenamiento de claves no queden en escritorios, en cajones sin candado o en un lugar del cual se puedan sacar o copiar con facilidad. Mantenga el dispositivo
• Mantenga el dispositivo que almacena la clave privada en un cajón del escritorio o en un gabinete bajo llave o detrás de una puerta cerrada con llave.

Elija una contraseña segura para la clave privada. Requerimos que tenga al menos dieciséis (16) caracteres generados de manera aleatoria y letras en mayúscula, letras en minúscula, números y símbolos para constituirse en una clave privada. No se deben usar palabras de un diccionario, derivados de la identificación del usuario, secuencias de caracteres frecuentes (por ejemplo, "123456"), nombres propios, ubicaciones geográficas, acrónimos frecuentes, jerga, nombres de familiares, fechas de nacimiento, etc.

Almacene de manera segura una clave privada usando un dispositivo criptográfico certificado de nivel 2 FIPS 140-2. Estos dispositivos criptográficos no dejan exportar la clave privada. La mayoría de estos dispositivos tiene un sistema multifactorial de identificación.

Microsoft recomienda usar un certificado de firma de prueba diferente para firmar el código de versión previa. El certificado de firma de la prueba solo es fiable en el entorno de la prueba. Los certificados de firma de pruebas puede ser certificados mediante firma automática o venir de una CA de prueba interna.

Para obtener más información, Microsoft ofrece un documento de mejores prácticas sobre firma de códigos.