Come generare una CSR per un certificato di firma del codice con OpenSSL

Aggiornamento importante!

A partire dal 1° giugno 2023, è in vigore una nuova misura di sicurezza per i certificati di firma del codice. Tutti i certificati di firma del codice devono essere memorizzati su hardware che soddisfa specifici standard di sicurezza come FIPS 140 Level 2, Common Criteria EAL 4+ o equivalenti.

Di conseguenza, il processo di ottenimento e installazione dei certificati è cambiato. Le Autorità di Certificazione non supportano più la generazione di chiavi via browser, la creazione di CSR e l’installazione di certificati su laptop o server. Se invece scegli il metodo di consegna del token + spedizione come metodo di firma del codice, la CA si occuperà della generazione di CSR. In alternativa, se preferisci utilizzare il tuo modulo di sicurezza hardware (HSM), consulta le guide qui sotto o segui le istruzioni del tuo fornitore di HSM per la generazione di CSR.

• Generazione e attestazione di CSR FIPS YubiKey 5
• HSM collegato alla rete Luna v7.x: Guida alla CSR e all’attestazione

---

Il testo seguente contiene informazioni obsolete, non più applicabili alla generazione di CSR per i certificati di firma del codice.

Questa guida ti mostrerà come generare una Certificate Signing Request per i certificati di firma del codice con OpenSSL. Una volta seguito il procedimento e acquisita familiarità con i comandi, sarai in grado di creare futuri codici CSR in pochi minuti direttamente dal tuo dispositivo. L’unico prerequisito è che OpenSSL sia installato sul tuo sistema. Segui i passi seguenti per generare rapidamente un codice CSR.

1. Scarica e installa OpenSSL

Se non hai installato OpenSSL sul tuo computer, scarica la versione di OpenSSL compatibile con il tuo sistema e installala sul tuo dispositivo.

2. Esegui OpenSSL dal tuo dispositivo

Apri l’applicazione Esegui sul tuo dispositivo Windows premendo il tasto Windows + R sulla tastiera. Nella finestra di dialogo Esegui che appare, digita cmd e poi premi Invio. Assicurati di eseguire il Prompt dei comandi come amministratore cliccando con il tasto destro del mouse sull’icona del Prompt dei comandi e selezionando “Esegui come amministratore”. In questo modo verrà avviata l’interfaccia del Prompt dei comandi di Windows.

Puoi accedere al Prompt dei comandi anche digitando cmd nella barra di ricerca sulla barra delle applicazioni e selezionando l’applicazione Prompt dei comandi.

Una volta aperta la finestra del Prompt dei comandi, puoi cambiare la directory corrente nella posizione in cui hai installato OpenSSL. Per farlo, usa un comando simile a uno dei seguenti esempi e premi Invio:

cd \OpenSSL-Win32\bin

cd \Program Files\OpenSSL-Win64\bin

3. Generare la chiave privata e il CSR

Genera un comando unico per avviare un algoritmo di crittografia del certificato e per specificare la dimensione della chiave privata. Usa il seguente comando per generare la chiave privata:

OpenSSL genrsa -out code_signing_key.key 3072

Ora, genera il file CSR:

OpenSSL req -new -key code_signing_key.key -out code_signing_csr.txt

4. Completa i campi CSR con le informazioni richieste

Inserisci i tuoi dati di contatto come richiesto. Inserisci informazioni accurate e aggiornate. Ecco un esempio. Assicurati di sostituire i dati con quelli reali.

• Paese (CN) – Inserisci il codice di due lettere del paese in cui la tua azienda è registrata o in cui risiedi. Es: Stati Uniti.
• Stato o Provincia (ST) – Inserisci il nome dello Stato in cui è registrata la tua azienda. Es: California.
• Località (L) – Inserisci il nome della città in cui è registrata la tua azienda. Ad esempio: San Jose.
• Nome dell’organizzazione (O) – Inserisci il nome ufficiale della tua organizzazione o il tuo nome completo se richiedi un certificato Code Singing per una persona fisica. Es: GPI Holding LLC
• Unità Organizzativa (UO) – Specifica il reparto della tua azienda che richiede il certificato di firma del codice. Es: IT
• Nome comune (CN) – inserisci qui il nome della tua organizzazione o il nome completo.
• Indirizzo e-mail: indica un indirizzo e-mail valido

Puoi lasciare vuoti i campi opzionali della password e del nome dell’organizzazione e premere semplicemente Invio.

Nota: un modo alternativo per generare la chiave privata e il CSR è quello di combinare i passi 3 e 4 in un unico comando:

Openssl req -new -newkey rsa:3072 -nodes -out code_signing_csr.txt -keyout code_signing_key.key -subj "/C=US/ST=California/L=San Jose/O=GPI Holding LLC/CN=GPI Holding LLC

5. Sposta la chiave privata e i file CSR appena creati in un’altra directory

Dovresti spostare la chiave privata e i file CSR lontano da OpenSSL in una directory centrale del tuo dispositivo. Tieni la chiave privata al sicuro e non condividerla con personale non autorizzato. Segui i comandi di OpenSSL riportati di seguito per spostare i file:

• Crea una nuova cartella nell’unità C.
  md\c:\codesigningcertificates
• Sposta la tua chiave privata:
  move code_signing_key.key c:\codesigningcertificates

• Sposta il tuo CSR
  sposta codice_firma_csr.txt c:\codesigningcertificate

6. Invia il CSR alla tua CA

Ora che la tua CSR è pronta, puoi aprirla con un qualsiasi editor di testo, come il Blocco Note, e copiarne il contenuto, compresi i tag —–BEGIN CERTIFICATE REQUEST—– e —–END CERTIFICATE REQUEST—– nella casella corrispondente durante il processo di registrazione del certificato sulla pagina del tuo fornitore.

Fasi finali

Dopo aver verificato e convalidato la tua richiesta di certificato di firma del codice, la CA invierà i file necessari via e-mail. A seconda del livello di convalida, potrebbero essere necessari da uno a qualche giorno lavorativo per ricevere il certificato firmato.