保护私钥
代码签名最佳实践：安全地生成和存储私钥
DigiCert 建议开发人员在实施代码签名过程和保护与签名证书关联的私钥时采取防范措施。
建议
限制对密钥的访问
维护对代码签名密钥的访问控制和帐户控制并限制其分配。这将有助于对密钥使用执行严格的帐户控制。
将密钥存储设备安全地存放在带锁的储物柜中
确保不要将密钥存储设备留在桌子上、未上锁的抽屉中，或者可以轻易被别人拿走或复制的位置。
将存储有密钥的设备锁在桌子抽屉中、文件柜中或上锁的门后。
对私钥使用强密码
为私钥选择强密码。我们要求在传输私钥时使用随机生成的至少十六 (16) 个字符，其中包含大小写字母、数字和符号。避免使用字典中的词、用户名缩写、常见字符序列（例如，“123456”）、专有名词、地理位置、常见缩略词、俚语、家庭成员姓名、生日等。
安全存储私钥
使用 FIPS 140-2 2 级认证密码设备安全地存储私钥。禁止使用这些密码设备导出私钥。其中大多数设备包括多因素身份验证。
测试签名证书和发行签名证书
Microsoft 建议使用单独的测试签名证书签署预发行代码。测试签名证书应该仅在测试环境中受信任。测试签名证书可以是自签名证书或来自内部测试 CA。
其他信息
有关更多信息，Microsoft 提供了关于代码签名的最佳实践文档。