A DigiCert recomenda que os desenvolvedores tomem precauções ao implementar seu processo de assinatura de código e proteger as chaves privadas associadas a seus certificados de assinatura.
Mantenha controles de acesso e prestação de contas das chaves de assinatura de código e limite sua distribuição. Isto lhe ajudará a garantir prestação de contas estrita para o uso de chaves.
Certifique-se de que os dispositivos de armazenamento de chaves não sejam deixados em mesas, em gavetas destrancadas ou onde possam ser facilmente retirados ou copiados.
Mantenha o dispositivo que armazena a chave privada em uma gaveta de mesa trancada, armário ou atrás de portas trancadas.
Escolha uma senha forte para a chave privada. Exigimos que tenha pelo menos dezesseis (16) caracteres gerados aleatoriamente contendo letras maiúsculas, minúsculas, números e símbolos para transportar chaves privadas. Palavras em um dicionário, derivados de IDs de usuário, sequências de caracteres comuns (por exemplo, "123456"), nomes próprios, localizações geográficas, acrônimos comuns, gírias, nomes de membros da família, aniversários etc. não devem ser usados.
Armazene com segurança uma chave privada usando um dispositivo criptográfico certificado FIPS 140-2 Nível 2. A exportação da chave privada não é permitida por esses dispositivos criptográficos. A maioria desses dispositivos inclui autenticação multifator.
A Microsoft recomenda uso de certificado de assinatura teste separado para assinar código pré-liberado. O certificado de assinatura de teste deve ser confiável apenas em ambiente de teste. Os certificados de assinatura de teste podem ser certificados autoassinados ou vir de uma CA de teste interna.
Para obter mais informações, a Microsoft fornece um documento de práticas recomendadas sobre assinatura de código.