Domande frequenti

A partire dal 1° giugno 2023, le misure di sicurezza migliorate impongono che le chiavi private dei certificati standard di firma del codice siano memorizzate esclusivamente su hardware certificato FIPS 140 Livello 2, Common Criteria EAL 4+ o equivalente. Questo cambiamento è in linea con i rigorosi standard di protezione dei certificati di firma del codice EV. Di conseguenza, le Autorità di Certificazione (CA) hanno smesso di supportare i processi di generazione delle chiavi, creazione di CSR e installazione basati su browser. Invece, optando per il metodo di spedizione token+ al momento della richiesta del certificato, la CA chiederà di creare il CSR. Chi preferisce l’installazione di un HSM deve fare riferimento alle istruzioni riportate di seguito o alle linee guida del rispettivo fornitore.

• Generazione e attestazione di CSR FIPS YubiKey 5.
• Luna Network Attached HSM v7.x: Guida alla CSR e all’attestazione.

Scopri di più sui metodi di consegna dei certificati di firma del codice.

Copia link

La convalida di un certificato EV Code Signing di DigiCert/GoGetSSL prevede i seguenti passaggi:

1. Autenticazione dell’organizzazione: La CA verifica la registrazione della persona giuridica utilizzando database, documenti o una lettera di parere legale.
2. Esistenza operativa: DigiCert conferma l’attività per più di 3 anni attraverso database, documenti, Dun & Bradstreet, lettere bancarie o pareri legali.
3. Verifica dell’indirizzo fisico: La CA convalida l’indirizzo tramite database, documenti, Dun & Bradstreet o lettere di parere legale.
4. Verifica dei numeri di telefono: DigiCert verifica i numeri di telefono presenti negli elenchi telefonici, in Dun & Bradstreet o nelle lettere di parere legale.
5. Chiamata di verifica: DigiCert conferma i dettagli dell’ordine attraverso una telefonata.
6. Modulo di approvazione EV: Firma e invia il modulo di accordo per l’approvazione.
7. Approvazione finale: DigiCert esamina i dettagli e rilascia il certificato.

Per informazioni approfondite su ciascun passaggio, consulta la nostra guida su come superare la convalida estesa per un certificato DigiCert/GoGetSSL.

Copia link

Il processo di firma del codice DigiCert/GoGetSSL Organization Validation (OV) prevede cinque fasi:

1. Autenticazione dell’organizzazione: La CA conferma la registrazione legale e lo stato attivo, confrontando le informazioni con i registri ufficiali o i documenti presentati.
2. Convalida dell’indirizzo fisico: DigiCert incrocia gli indirizzi delle aziende con siti web governativi e directory affidabili per garantire la presenza fisica.
3. Verifica del numero di telefono: La Ca convalida il numero di telefono dell’organizzazione attraverso elenchi di terze parti o registri ufficiali.
4. Chiamata di verifica: Un agente DigiCert avvia una chiamata al rappresentante autorizzato, utilizzando un numero di telefono verificato, o fornisce un’opzione di segreteria telefonica se necessario.
5. Approvazione finale: Il Ca esamina internamente i dettagli e invia un’e-mail con le istruzioni per il ritiro del certificato dopo l’esito positivo della convalida.

Per informazioni complete, consulta la nostra guida completa sulla convalida dell’organizzazione per i certificati Digicert/GoGetSSL.

Copia link

Per ottenere un certificato di firma del codice GoGetSSL come individuo, segui i seguenti passaggi:

Conferma l’identità

Compila una lettera di attestazione e sottoponiti a un controllo video con la tua webcam. La CA verificherà il tuo documento d’identità con foto e la tua identità. Se non hai un passaporto, fornisci due documenti d’identità: uno ufficiale con foto e nome e un secondo con il tuo nome.

Verifica del telefono

Verifica la validità e l’attività del tuo numero di telefono. È accettata una fonte Google Business.

Chiamata di verifica finale

Rispondi ad alcune domande durante una telefonata con un agente CA per confermare i dettagli della tua domanda.

Per maggiori informazioni, consulta la guida completa su come superare la Validazione Individuale per un certificato di firma del codice GoGetSSL.

Copia link

Ecco i passaggi necessari per superare la Validazione Individuale di un certificato di firma del codice Sectigo/Comodo:

Opzione fototessera:

• Presenta un documento d’identità con foto del governo.
• Invia un selfie con il tuo documento d’identità.
• Apri un biglietto Sectigo.
• Ricevi il numero del caso.

Opzione faccia a faccia:

• Fornisci un documento d’identità e una prova finanziaria.
• Includi un documento di indirizzo non finanziario.
• Completa la Dichiarazione personale.
• Autentica i documenti.
• Apri un biglietto Sectigo.
• Ottieni il numero del caso.

Si prega di notare che questa è una panoramica concisa. Consulta le istruzioni dettagliate per la convalida individuale dei certificati Sectigo/Comodo Code Signing.

Copia link

Le ultime linee guida del Ca/Browser Forum richiedono che i certificati di firma del codice siano consegnati su token USB fisici o installati su un modulo di sicurezza hardware (HSM) esistente. Per maggiori dettagli, consulta la guida completa ai metodi di consegna della firma del codice.

Il lfiespan del certificato Code Singing dipende sia dall’Autorità di Certificazione che dal metodo di consegna scelto.

I certificati di firma del codice DigiCert e GoGetSSL sono rilasciati per un anno, indipendentemente dal fatto che tu utilizzi un token fornito dalla CA o un dispositivo hardware proprio.

I certificati di firma del codice Sectigo/Comodo vengono rilasciati per un anno anche quando si utilizza un token fornito da Sectigo. I piani pluriennali (fino a tre anni) sono disponibili solo se si utilizza il proprio HSM supportato.

Copia link

È difficile eliminare il phishing a causa dell’enorme quantità di attacchi che si verificano ogni giorno. L’approccio migliore è quello di essere vigili in ogni interazione online, sia essa via e-mail, social media o chat.

Copia link

Anche se è improbabile che la semplice apertura di un’email possa violare direttamente il tuo dispositivo, le email di phishing spesso contengono link o allegati dannosi che, una volta aperti, possono portare a infezioni da malware o compromettere ulteriormente la tua sicurezza.

Copia link

Sì, il phishing è un’attività tipicamente svolta da hacker o criminali informatici che utilizzano tecniche di social engineering, siti web falsi e comunicazioni fraudolente per ingannare e sfruttare individui o organizzazioni.

Copia link

La durata di una campagna di phishing può variare da poche ore a diverse settimane, a seconda degli obiettivi specifici e delle tattiche dell’attaccante.

Copia link