Häufig gestellte Fragen

Ab dem 1. Juni 2023 schreiben verbesserte Sicherheitsmaßnahmen vor, dass private Schlüssel für Standard-Codesignaturzertifikate ausschließlich auf FIPS 140 Level 2, Common Criteria EAL 4+ oder gleichwertig zertifizierter Hardware gespeichert werden müssen. Diese Änderung steht im Einklang mit den strengen Schutzstandards von EV Code Signing-Zertifikaten. Infolgedessen haben die Zertifizierungsstellen (CAs) die Unterstützung der browserbasierten Schlüsselgenerierung, der CSR-Erstellung und der Installationsprozesse eingestellt. Wenn Sie stattdessen bei der Beantragung des Zertifikats die Versandmethode Token+ wählen, wird die Zertifizierungsstelle aufgefordert, die CSR zu erstellen. Diejenigen, die eine HSM-Installation bevorzugen, müssen sich an die nachstehenden Anweisungen oder die Richtlinien des jeweiligen Anbieters halten.

• YubiKey 5 FIPS CSR-Generierung und -Attestierung
• Luna Network Attached HSM v7.x: CSR & Attestierungsleitfaden

Erfahren Sie mehr über die Methoden zur Bereitstellung von Code Signing-Zertifikaten.

Link kopieren

Die Validierung eines EV Code Signing-Zertifikats von DigiCert/GoGetSSL umfasst die folgenden Schritte:

1. Authentifizierung der Organisation: Die CA verifiziert die Registrierung einer juristischen Person anhand von Datenbanken, Dokumenten oder einem Rechtsgutachten.
2. Operatives Bestehen: DigiCert bestätigt die Aktivität für mehr als 3 Jahre durch Datenbanken, Dokumente, Dun & Bradstreet, Bankschreiben oder Rechtsgutachten.
3. Überprüfung der physischen Adresse: Die zuständige Behörde prüft die Adresse anhand von Datenbanken, Dokumenten, Dun & Bradstreet oder Rechtsgutachten.
4. Überprüfung von Telefonnummern: DigiCert verifiziert Telefonnummern in Verzeichnissen, Dun & Bradstreet oder Rechtsgutachten.
5. Verifizierungsanruf: DigiCert bestätigt die Auftragsdetails durch einen Telefonanruf.
6. EV-Genehmigungsformular: Unterschreiben Sie das Vereinbarungsformular und reichen Sie es zur Genehmigung ein.
7. Endgültige Genehmigung: DigiCert überprüft die Details und stellt das Zertifikat aus.

Ausführliche Informationen zu den einzelnen Schritten finden Sie in unserem Leitfaden zum Bestehen der Extended Validation für ein DigiCert/GoGetSSL-Zertifikat.

Link kopieren

Der DigiCert/GoGetSSL Code Signing Organization Validation (OV) Prozess umfasst fünf Schritte:

1. Authentifizierung der Organisation: Die Zertifizierungsstelle bestätigt die legale Registrierung und den aktiven Status, indem sie die Informationen mit offiziellen Aufzeichnungen oder eingereichten Dokumenten vergleicht.
2. Validierung der physischen Adresse: DigiCert vergleicht Geschäftsadressen mit staatlichen Websites und seriösen Verzeichnissen, um die physische Präsenz sicherzustellen.
3. Überprüfung der Telefonnummer: Das Ca überprüft die Telefonnummer der Organisation anhand von Verzeichnissen Dritter oder offiziellen Aufzeichnungen.
4. Verifizierungsanruf: Ein DigiCert-Agent ruft den bevollmächtigten Vertreter unter einer verifizierten Telefonnummer an oder bietet bei Bedarf eine Voicemail-Option an.
5. Endgültige Freigabe: Das Ca prüft intern die Details und sendet nach erfolgreicher Validierung per E-Mail Anweisungen zur Abholung des Zertifikats.

Weitere Informationen finden Sie in unserem ausführlichen Leitfaden zur Organisationsvalidierung für Digicert/GoGetSSL-Zertifikate.

Link kopieren

Um ein GoGetSSL Code Signing-Zertifikat als Einzelperson zu erhalten, gehen Sie wie folgt vor:

Identität bestätigen

Füllen Sie ein Bescheinigungsschreiben aus und unterziehen Sie sich einer Videokontrolle mit Ihrer Webcam. Die Behörde prüft Ihren Lichtbildausweis und Ihre Identität. Wenn Sie keinen Reisepass haben, legen Sie zwei Ausweise vor: einen offiziellen mit Foto und Namen und einen zweiten mit Ihrem Namen.

Telefonische Verifizierung

Überprüfen Sie die Gültigkeit und Aktivität Ihrer Rufnummer. Eine Google Business-Quelle wird akzeptiert.

Aufruf zur abschließenden Verifizierung

Beantworten Sie während eines Telefonats mit einem CA-Agenten einige Fragen, um Ihre Antragsdaten zu bestätigen.

Weitere Informationen finden Sie in der vollständigen Anleitung zum Bestehen der individuellen Validierung für ein GoGetSSL Code Signing-Zertifikat.

Link kopieren

Nachfolgend finden Sie die Schritte, die erforderlich sind, um die individuelle Validierung für ein Sectigo/Comodo Code Signing-Zertifikat zu bestehen:

Foto-ID-Option:

• Reichen Sie einen amtlichen Lichtbildausweis ein.
• Senden Sie ein Selfie mit Ihrem Ausweis.
• Sectigo-Ticket öffnen.
• Erhalten Sie die Fallnummer.

Option „Face-to-Face“:

• Legen Sie einen Ausweis und einen finanziellen Nachweis vor.
• Fügen Sie ein nicht-finanzielles Adressdokument bei.
• Füllen Sie die Erklärung zur persönlichen Stellungnahme aus.
• Dokumente notariell beglaubigen.
• Sectigo-Ticket öffnen.
• Ermitteln Sie die Fallnummer.

Bitte beachten Sie, dass es sich hierbei um einen knappen Überblick handelt. Lesen Sie die ausführlichen Anweisungen zur Einzelvalidierung für Sectigo/Comodo Code Signing-Zertifikate.

Link kopieren

Die neuesten Richtlinien des Ca/Browser-Forums verlangen, dass Code Signing-Zertifikate auf physischen USB-Tokens geliefert oder auf einem vorhandenen Hardware-Sicherheitsmodul (HSM) installiert werden. Weitere Einzelheiten finden Sie im vollständigen Leitfaden zu den Code Signing-Verfahren.

Die Dauer eines Code Singing-Zertifikats hängt sowohl von der Zertifizierungsstelle als auch von der von Ihnen gewählten Liefermethode ab.

DigiCert und GoGetSSL Code Signing-Zertifikate werden für ein Jahr ausgestellt, unabhängig davon, ob Sie einen von der CA bereitgestellten Token oder Ihr eigenes Hardware-Gerät verwenden.

Sectigo/Comodo Code Signing-Zertifikate werden ebenfalls für ein Jahr ausgestellt , wenn Sie einen von Sectigo bereitgestellten Token verwenden. Mehrjahrespläne (bis zu drei Jahre) sind nur verfügbar , wenn Sie Ihr eigenes unterstütztes HSM verwenden.

Link kopieren

Es ist schwierig, Phishing zu unterbinden, da es täglich eine Vielzahl von Angriffen gibt. Am besten ist es, bei jeder Online-Interaktion wachsam zu sein, sei es per E-Mail, über soziale Medien oder im Chat.

Link kopieren

Es ist zwar unwahrscheinlich, dass durch das einfache Öffnen einer E-Mail Ihr Gerät direkt gehackt wird, aber Phishing-E-Mails enthalten oft bösartige Links oder Anhänge, die, wenn sie geöffnet werden, zu Malware-Infektionen führen oder Ihre Sicherheit weiter gefährden können.

Link kopieren

Ja, Phishing wird in der Regel von Hackern oder Cyberkriminellen durchgeführt, die Social-Engineering-Techniken, gefälschte Websites und betrügerische Mitteilungen einsetzen, um Einzelpersonen oder Unternehmen zu täuschen und auszunutzen.

Link kopieren

Die Dauer einer Phishing-Kampagne kann je nach den spezifischen Zielen und Taktiken des Angreifers von wenigen Stunden bis zu mehreren Wochen variieren.

Link kopieren