CertCentral: DigiCert KeyGen, our new key generation service
DigiCert is happy to announce our new key generation service—KeyGen. Use KeyGen to generate and install your client and code signing certificates from your browser. KeyGen can be used on macOS and Windows and is supported by all major browsers.
With KeyGen, you don't need to generate a CSR to order your client and code signing certificates. Place your order without a CSR. Then after we process the order and your certificate is ready, DigiCert sends a "Generate your Certificate" email with instructions on using KeyGen to get your certificate.
How does KeyGen work?
KeyGen generates a keypair and then uses the public key to create a certificate signing request (CSR). KeyGen sends the CSR to DigiCert, and DigiCert sends the certificate back to KeyGen. Then KeyGen downloads a PKCS12 (.p12) file to your desktop that contains the certificate and the private key. The password you create during the certificate generation process protects the PKCS12 file. When you use the password to open the certificate file, the certificate gets installed in your personal certificate store.
To learn more about generating client and code signing certificates from your browser, see the following instructions:
Verified Mark Certificates (VMC): Three new approved trademark offices
We are happy to announce that DigiCert now recognizes three more intellectual property offices for verifying the logo for your VMC certificate. These new offices are in Korea, Brazil, and India.
New approved trademark offices:
Other approved trademark offices:
What is a Verified Mark Certificate?
Verified Mark Certificates (VMCs) are a new type of certificate that allows companies to place a certified brand logo next to the “sender” field in customer inboxes.
Bugfix: Code Signing (CS) certificate generation email sent only to CS verified contact
We fixed a bug in the Code Signing (CS) certificate issuance process where we were sending the certificate generation email to only the CS verified contact. This bug only happened when the requestor did not include a CSR with the code signing certificate request.
Now, for orders submitted without a CSR, we send the code signing certificate generation email to:
Note: DigiCert recommends submitting a CSR with your Code Signing certificate request. Currently, Internet Explorer is the only browser that supports keypair generation. See our knowledgebase article: Keygen support dropped with Firefox 69.
Industry moves to 3072-bit key minimum RSA code signing certificates
Starting May 27, 2021, to comply with new industry standards for code signing certificates, DigiCert will make the following changes to our code signing certificate process.
See Appendix A in the Baseline Requirements for the Issuance and Management of Publicly-Trusted Code Signing Certificates to learn more about these industry changes,
How do these changes affect my existing 2048-bit key certificates?
All existing 2048-bit key size code signing certificates issued before May 27, 2021, will remain active. You can continue to use these certificates to sign code until they expire.
What if I need 2048-bit key code signing certificates?
Take these actions, as needed, before May 27, 2021:
How do these changes affect my code signing certificate process starting May 27, 2021?
Reissues for code signing certificate
Starting May 27, 2021, all reissued code signing certificates will be:
New and renewed code signing certificates
Starting May 27, 2021, all new and renewed code signing certificates will be:
CSRs for code signing certificates
Starting May 27, 2021, you must use a 3072-bit RSA key or larger to generate all certificate signing requests (CSR). We will no longer accept 2048-bit key CSRs for code signing certificate requests.
eTokens for EV code signing certificates
Starting May 27, 2021, you must use an eToken that supports 3072-bit keys when you reissue, order, or renew an EV code signing certificate.
HSMs for EV code signing certificates
Starting May 27, 2021, you must use an HSM that supports 3072-bit keys. Contact your HSM vendor for more information.
New ICA and root certificates
Starting May 27, 2021, DigiCert will issue all new code signing certificates from our new RSA and ECC intermediate CA and root certificates (new, renewed, and reissued).
RSA ICA and root certificates:
ECC ICA and root certificates:
No action is required unless you practice certificate pinning, hard code certificate acceptance, or operate a trust store.
If you do any of these things, we recommend updating your environment as soon as possible. Stop pinning and hard coding ICAs or make the necessary changes to ensure certificates issued from the new ICA certificates are trusted (in other words, they can chain up to their issuing ICA and trusted root certificates).
References
If you have questions or concerns, please contact your account manager or our support team.
DigiCert smette di emettere certificati di firma codice SHA-1
Martedì, 1° dicembre 2020 MST, DigiCert smetterà di emettere certificati di firma codice SHA-1 e SHA-1 EV.
Nota: Tutti i certificati di firma codice SHA-1/EV esistenti rimarranno attivi finché non scadono.
Perché DigiCert sta effettuando queste modifiche?
Per rispettare i nuovi standard industriali, le autorità di certificazione (CA) devono apportare le seguenti modifiche entro il 1° gennaio 2021:
Consulta l’Appendice A nei Requisiti base per l’emissione e la gestione di certificati di firma codice pubblicamente attendibili.
In che modo le modifiche al certificato di firma codice SHA-1 mi interessano?
Se ti affidi ai certificati di firma codice SHA-1, esegui queste operazioni come necessario prima del 1° dicembre 2020:
Per ulteriori informazioni sulle modifiche del 1° dicembre 2020, consulta il nostro articolo di knowledgebase DigiCert interrompe l’emissione di certificati di firma codice SHA-1.
Se hai altre domande, contatta il tuo account manager o il nostro team di assistenza.
Microsoft sta sospendendo l’assistenza per le firme digitali del pacchetto driver kernel-mode di terze parti
Il processo per firmare i pacchetti driver kernel-mode è cambiato. A partire dal 2021, Microsoft sarà l’unico provider di firme codice kernel-mode di produzione. D’ora in poi dovrai iniziare a seguire le istruzioni aggiornate di Microsoft per firmare qualsiasi nuovo pacchetto driver kernel-mode. Consulta Centri partner per hardware Windows.
Cosa sta facendo DigiCert?
Come prima fase in questo processo di interruzione, DigiCert ha rimosso l’opzione della piattaforma Microsoft Kernel-Mode Code dai moduli di richiesta certificati di firma codice: nuovo, riemissione e rinnovo.
Ciò significa che andando avanti, non puoi più ordinare, rimettere o rinnovare un certificato di firma codice per la piattaforma kernel-mode.
In che modo ciò interessa il mio certificato di firma codice kernel-mode esistente?
Puoi continuare a usare i tuoi certificati esistenti per firmare i pacchetti driver Kernel-Mode finché il principale con firma incrociata a cui è concatenato non scade. I certificati principali con firma incrociata di marchio DigiCert scadono nel 2021.
Per ulteriori dettagli, consulta il nostro articolo di knowledge, Microsoft interrompe il supporto per i certificati principali con firma incrociata con le capacità di firma kernel-mode.
CertCentral: Gestione delle convalide dominio per tutti i tipi di account
Siamo lieti di annunciare che tutti gli account CertCentral ora sono dotati della gestione convalide dominio per impostazione predefinita. Ora, tutti i tipi di account hanno accesso a queste funzioni di gestione dominio:
Per usare le nuove funzioni di gestione convalida dominio, vai nella pagina Domini (nel menu principale sinistro, vai in Certificati > Domini).
*Per ulteriori informazioni sull’invio di domini per la preconvalida, consulta Preconvalida dominio.
Nota: In precedenza, solo gli account Enterprise e Partner avevano la possibilità di inviare i domini per la preconvalida e gestire le preconvalide dei loro domini (convalida del controllo del dominio).
CertCentral: Le impostazioni dell’ambito di convalida dominio si applicano solo agli ordini TLS
Nella pagina Preferenze divisioni, sotto Convalida del controllo del dominio (DCV), abbiamo aggiornato le impostazioni Ambito di convalida dominio: Invia dominio esatto per la convalida e Invia domini base per la convalida. Queste impostazioni aggiornate ti consentono di definire il comportamento di convalida dominio predefinito quando invii nuovi domini con il processo di ordine certificato TLS: EV, OV e DV. Queste impostazioni non si applicano più al processo di preconvalida dominio.*
*In che modo queste modifiche interessano il processo di preconvalida dominio?
Quando si inviano dei domini per la preconvalida, puoi convalidare un dominio in qualsiasi livello, base o qualsiasi sottodominio di livello inferiore: esempio.com, sub1.esempio.com, sub2.sub1.esempio.com, ecc. Consulta Preconvalida dominio.
Opzione "Reinvia e-mail di creazione certificato" per gli ordini di certificato di firma codice generati dal browser
Abbiamo aggiunto un’opzione Reinvia e-mail di creazione certificato al nostro processo di certificato di firma codice per gli ordini in cui il certificato viene generato in un browser supportato: IE 11, Safari, Firefox 68, e Firefox esportabile.
Ora, quando un ordine di certificato di firma codice ha uno stato Inviato per e-mail al destinatario, puoi inviare l’e-mail di generazione certificato.
Per ulteriori informazioni, consulta Reinvia e-mail "Crea il tuo certificato di firma codice DigiCert".
Abbiamo risolto un bug che impediva la visualizzazione dell’opzione Annulla ordine per gli ordini di certificato firma codice (CS) con uno stato Inviato per e-mail al destinatario. Sui dettagli Ordine, la pagina dell’opzione Annulla ordine mancava dal menu a discesa Azioni certificato.
Nota: Per annullare l’ordine, dovevi contattare il nostro team di assistenza.
Ora, per annullare un ordine di certificato di firma codice (CS) con lo stato Inviato per e-mail al destinatario, vai nella pagina dei dettagli Ordine per il certificato e annulla l’ordine.
Per ulteriori informazioni, annulla un ordine di certificato.
CertCentral: Modifica dettagli organizzazione
Abbiamo aggiunto una nuova funzione al processo di gestione organizzazione in CertCentral—Modifica dettagli organizzazione. Ora, per aggiornare le informazioni organizzazione, vai nella pagina dei dettagli organizzazione per quell’organizzazione e fai clic su Modifica organizzazione.
Quello che devi fare prima di modificare i dettagli di un’organizzazione
La modifica dei dettagli organizzazione per un’organizzazione convalidata nega tutte le convalide esistenti per l’organizzazione. Questa azione non può essere annullata. Ciò significa che DigiCert dovrà convalidare l’organizzazione "aggiornata/nuova" prima che possiamo emettere dei certificati per lei. Prima di iniziare, verifica di comprendere e accettare ciò che accade quando cambi i dettagli dell’organizzazione.
Per ulteriori informazioni, consulta Modifica dettagli organizzazione.
Firefox termina il supporto per la generazione di chiavi
Con il rilascio di Firefox 69, Firefox non supporterà più Keygen. Firefox utilizza Keygen per facilitate facilitare la generazione di materiale per chiavi per l’invio di chiavi pubbliche quando si generano certificati di firma codice, Client e SMIME nel browser.
Nota: Chrome ha già interrotto il supporto per la generazione di chiavi, mentre Edge e Opera non l’hanno mai supportata.
In che modo ti interessa la questione?
Dopo che DigiCert emette i tuoi certificati di firma codice, Client o SMIME, ti invieremo un’e-mail con un link per creare e installare il tuo certificato.
Una volta rilasciato Firefox 69, puoi usare solo due browser per generare questi certificati: Internet Explorer e Safari. Se la policy aziendale richiede l’uso di Firefox, puoi usare Firefox ESR o una copia esportabile di Firefox.
Per ulteriori informazioni, consulta Interruzione del supporto Keygen con Firefox 69.
Consigli pratici
Abbiamo aggiunto un nuovo stato, Inviato per e-mail al destinatario, Alle pagine Ordini e Dettagli ordine, per gli ordini di certificato di firma codice e client, consentendoti di identificare più facilmente dove si trovano questi ordini nel processo di emissione.
Questo nuovo stato indica che DigiCert ha convalidato l’ordine e che il certificato è in attesa che l’utente/destinatario dell’e-mail lo generi in uno dei browser supportati: IE 11, Safari, Firefox 68, e Firefox esportabile.
(Nel menu della barra laterale, fai clic su Certificati > Ordini. Dopodiché, nella pagina Ordini, fai clic sul numero d’ordine per l’ordine di certificato di firma codice o client.)
Abbiamo aggiornato i nostri processi di riemissione certificati Convalida estesa (EV), Firma codice (CS) e Firma documento (DS), consentendoti di riemettere questi certificati senza revocare automaticamente il certificato attuale (certificato originale o precedentemente riemesso).
Nota: Se non ti serve il certificato attuale (certificato originale o precedentemente riemesso), dovrai contattare l’assistenza in modo che possa revocarlo per te.
Ora, la prossima volta che riemetti un certificato EV, CS o DS, puoi mantenere attivo il certificato emesso in precedenza fino al suo periodo di validità attuale (o per tutto il tempo che ti serve).
DigiCert continuerà a supportare la firma SHA1 per i certificati di firma codice. Stiamo eliminando il limite di scadenza max del 30 dicembre 2019.
