Code Signing

A partire dal 1° giugno 2023, le misure di sicurezza migliorate impongono che le chiavi private dei certificati standard di firma del codice siano memorizzate esclusivamente su hardware certificato FIPS 140 Livello 2, Common Criteria EAL 4+ o equivalente. Questo cambiamento è in linea con i rigorosi standard di protezione dei certificati di firma del codice EV. Di conseguenza, le Autorità di Certificazione (CA) hanno smesso di supportare i processi di generazione delle chiavi, creazione di CSR e installazione basati su browser. Invece, optando per il metodo di spedizione token+ al momento della richiesta del certificato, la CA chiederà di creare il CSR. Chi preferisce l’installazione di un HSM deve fare riferimento alle istruzioni riportate di seguito o alle linee guida del rispettivo fornitore.

• Generazione e attestazione di CSR FIPS YubiKey 5.
• Luna Network Attached HSM v7.x: Guida alla CSR e all’attestazione.

Scopri di più sui metodi di consegna dei certificati di firma del codice.

Copia link

Il processo di firma del codice DigiCert/GoGetSSL Organization Validation (OV) prevede cinque fasi:

1. Autenticazione dell’organizzazione: La CA conferma la registrazione legale e lo stato attivo, confrontando le informazioni con i registri ufficiali o i documenti presentati.
2. Convalida dell’indirizzo fisico: DigiCert incrocia gli indirizzi delle aziende con siti web governativi e directory affidabili per garantire la presenza fisica.
3. Verifica del numero di telefono: La Ca convalida il numero di telefono dell’organizzazione attraverso elenchi di terze parti o registri ufficiali.
4. Chiamata di verifica: Un agente DigiCert avvia una chiamata al rappresentante autorizzato, utilizzando un numero di telefono verificato, o fornisce un’opzione di segreteria telefonica se necessario.
5. Approvazione finale: Il Ca esamina internamente i dettagli e invia un’e-mail con le istruzioni per il ritiro del certificato dopo l’esito positivo della convalida.

Per informazioni complete, consulta la nostra guida completa sulla convalida dell’organizzazione per i certificati Digicert/GoGetSSL.

Copia link

Per ottenere un certificato di firma del codice GoGetSSL come individuo, segui i seguenti passaggi:

Conferma l’identità

Compila una lettera di attestazione e sottoponiti a un controllo video con la tua webcam. La CA verificherà il tuo documento d’identità con foto e la tua identità. Se non hai un passaporto, fornisci due documenti d’identità: uno ufficiale con foto e nome e un secondo con il tuo nome.

Verifica del telefono

Verifica la validità e l’attività del tuo numero di telefono. È accettata una fonte Google Business.

Chiamata di verifica finale

Rispondi ad alcune domande durante una telefonata con un agente CA per confermare i dettagli della tua domanda.

Per maggiori informazioni, consulta la guida completa su come superare la Validazione Individuale per un certificato di firma del codice GoGetSSL.

Copia link

Ecco i passaggi necessari per superare la Validazione Individuale di un certificato di firma del codice Sectigo/Comodo:

Opzione fototessera:

• Presenta un documento d’identità con foto del governo.
• Invia un selfie con il tuo documento d’identità.
• Apri un biglietto Sectigo.
• Ricevi il numero del caso.

Opzione faccia a faccia:

• Fornisci un documento d’identità e una prova finanziaria.
• Includi un documento di indirizzo non finanziario.
• Completa la Dichiarazione personale.
• Autentica i documenti.
• Apri un biglietto Sectigo.
• Ottieni il numero del caso.

Si prega di notare che questa è una panoramica concisa. Consulta le istruzioni dettagliate per la convalida individuale dei certificati Sectigo/Comodo Code Signing.

Copia link

Le ultime linee guida del Ca/Browser Forum richiedono che i certificati di firma del codice siano consegnati su token USB fisici o installati su un modulo di sicurezza hardware (HSM) esistente. Per maggiori dettagli, consulta la guida completa ai metodi di consegna della firma del codice.

Il lfiespan del certificato Code Singing dipende sia dall’Autorità di Certificazione che dal metodo di consegna scelto.

I certificati di firma del codice DigiCert e GoGetSSL sono rilasciati per un anno, indipendentemente dal fatto che tu utilizzi un token fornito dalla CA o un dispositivo hardware proprio.

I certificati di firma del codice Sectigo/Comodo vengono rilasciati per un anno anche quando si utilizza un token fornito da Sectigo. I piani pluriennali (fino a tre anni) sono disponibili solo se si utilizza il proprio HSM supportato.

Copia link

La validità del certificato di firma dipende dal fornitore e da dove viene memorizzata la chiave privata.

DigiCert and GoGetSSL issue code signing certificates with a fixed one-year validity. It doesn’t matter if you use a CA-provided token or your own HSM. The term is always one year.

Sectigo (Comodo) funziona in modo diverso. Se utilizzi un token fornito dalla CA, anche il certificato è limitato a un anno. Se invece memorizzi la chiave privata nel tuo HSM, puoi ottenere un certificato valido fino a tre anni.

Copia link

Se distribuisci software o script agli utenti, dovresti ottenere un certificato di firma del codice. Questo certificato autenticherà il tuo codice e lo proteggerà da eventuali manomissioni, consentendo agli utenti di accedere e utilizzare i tuoi prodotti digitali.

Copia link

Puoi creare un certificato di firma del codice, ma sarà autofirmato e non attendibile per impostazione predefinita da altri sistemi. Dovresti ottenere un certificato di firma del codice da una CA pubblica per ottenere una fiducia e un riconoscimento diffusi.

Copia link

Il costo di un certificato di firma del codice varia a seconda dell’autorità di certificazione (CA) e del tipo di certificato (Organization Validation o Extended Validation).

Copia link

Il codice firmato rimane valido, ma gli utenti potrebbero visualizzare avvisi o messaggi che indicano che il certificato è scaduto. Devi ottenere un nuovo certificato di firma del codice e rifirmare il tuo codice per garantire la continuità della fiducia ed evitare i messaggi di avviso.

Copia link