Assinatura de código
Os certificados SSL protegem as comunicações entre um cliente (navegador) e um servidor (site) criptografando os dados transmitidos, enquanto os certificados de assinatura de código assinam digitalmente softwares e scripts para verificar sua autenticidade e integridade.
Copiar link
Aqui estão os requisitos para obter um certificado de assinatura de código de validação estendida (EV) da Sectigo/Comodo:
- Formulários de inscrição: Preencha os formulários de inscrição necessários para o certificado.
- Autenticação da organização: Comprovar a legitimidade da organização como uma entidade comercial genuína.
- Existência operacional: Pelo menos três anos de operação ativa e registro.
- Endereço físico: Forneça um endereço comercial físico válido para verificação.
- Verificação telefônica: Comprove o número de contato da organização por meio de bancos de dados governamentais ou de terceiros.
- Chamada de verificação final: Receber uma chamada da CA para validar os detalhes e a autenticidade da organização.
Para obter uma explicação detalhada de cada etapa, consulte nosso guia sobre Validação estendida para certificados Sectigo/Comodo.
Copiar link
A aprovação da validação da organização (OV) para um certificado de assinatura de código emitido pela Sectigo exige o seguinte:
- Autenticação de identidade
- Autenticação da organização
- Localidade Presença
- Verificação telefônica
- Chamada de verificação final
Para concluir cada etapa, siga nosso guia sobre como validar um certificado Sectigo OV Code Signing.
Copiar link
A revogação de certificados é o processo de invalidação de um certificado de assinatura de código antes da data de expiração programada. É uma prática recomendada padrão do setor de software revogar qualquer certificado de assinatura de código associado a uma violação de segurança, pois esse certificado pode conter código comprometido.
A Declaração de práticas de certificado da Sectigo
e o contrato de licença da Sectigo exigem que a empresa revogue qualquer certificado que, segundo seu conhecimento, possa ser usado para atividades ilegais ou desonestas.
Como o mesmo certificado pode ser usado tanto para fins corretos quanto para fins incorretos, a Sectigo depende de terceiros confiáveis para fornecer informações corretas sobre os certificados da Sectigo usados para malware.
A Sectigo pode revogar o certificado de assinatura de código nos seguintes casos:
- Um criminoso cibernético rouba ou altera um certificado de assinatura de código válido
- Um contratado ou funcionário usa um certificado válido para fins enganosos sem o conhecimento da empresa.
- O código, o site ou o software da empresa é infectado por malware ou outros ataques cibernéticos.
Como Autoridade Certificadora, a Sectigo não pode confiar na autodeclaração de falsos positivos pelos proprietários de certificados de assinatura de código, pois eles podem não saber que seus certificados ou bens digitais estão comprometidos.
Fonte: Base de Conhecimento da Sectigo
Copiar link
Um certificado de assinatura de código é um arquivo digital que verifica a autenticidade e a integridade do software assinando-o digitalmente, garantindo que ele não tenha sido adulterado e que seja proveniente de uma fonte confiável. Veja como funciona um certificado de assinatura de código.
Copiar link
A partir de 1º de junho de 2021, e em conformidade com os
Requisitos de linha de base de assinatura de código do CA/Browser Forum
a Sectigo exigirá que as chaves RSA tenham um tamanho mínimo de 3072 bits.
Ao gerar chaves e CSRs para certificados de assinatura de código, certifique-se de escolher uma chave RSA com tamanho de chave de 3072 ou 4096 bits.
Somente o tamanho das chaves deve ser alterado, o restante do processo permanece o mesmo. Os certificados RSA 2048 bits existentes continuarão funcionando e não será necessário fazer nenhuma alteração neles.
Os certificados solicitados com chaves ECC (curva elíptica) não são afetados e o Sectigo ainda assinará certificados com chaves usando as curvas NIST P-256 e P-384.
Fonte: Base de Conhecimento da Sectigo
Copiar link
Aqui estão as etapas que você precisa seguir para reemitir seu certificado Sectigo/Comodo Code Signing:
1) Faça login em https://secure.trust-provider.com/products/frontpage?area=ssl usando o nome de usuário e a senha que você usou quando configurou inicialmente o certificado Sectigo/Comodo Code Signing;
2) Quando estiver conectado, localize o botão “Replace” (Substituir) e clique nele;
3) Você iniciará o processo de reemissão do seu certificado Sectigo/Comodo Code Signing.
4) Siga as etapas e instruções a seguir até concluir a reemissão do certificado Sectigo Code Signing.
Copiar link
A partir de 1º de junho de 2023, os padrões do setor exigem o armazenamento de chaves privadas de certificados de assinatura de código em hardware com certificação FIPS 140 Nível 2, Common Criteria EAL 4+. Essa alteração aumenta a segurança, alinhando-se aos padrões de assinatura de código EV. As autoridades de certificação não podem mais oferecer suporte à geração de chaves baseada em navegador ou a instalações em laptops/servidores. As chaves privadas devem estar em tokens/HSMs com certificação FIPS 140-2 Nível 2 ou Common Criteria EAL 4+. Para assinar o código, acesse o token/HSM e use as credenciais de certificado armazenadas.
De acordo com as novas diretrizes, sua chave privada deve estar no token enviado pela CA ou em seu módulo de segurança de hardware.
Copiar link
Algumas autoridades de certificação (especialmente a Sectigo e a DigiCert) podem solicitar que você atualize ou adicione seu número de telefone à listagem DUNS da sua empresa, como parte do processo de validação comercial ou estendida.
Depois de entrar em contato com a Dun & Bradstreet e adicionar seu número de telefone à listagem DUNS da sua empresa, pode levar de 5 a 40 dias para que a Dun & Bradstreet disponibilize ao público a atualização da listagem DUNS . Quando você falar com a Dun & Bradstreet por telefone, eles poderão informar que adicionaram ou atualizaram seu número de telefone. No entanto, eles apenas iniciaram o processo. Seu número de telefone aparecerá no site Dun & Bradstreet(https://www.dandb.com/) em cerca de 5 a 40 dias depois disso.
Você saberá que sua listagem DUNS foi realmente atualizada somente quando receber uma mensagem de e-mail da Dun & Bradstreet informando que seu perfil DUNS foi atualizado com sucesso. Seu número de telefone começará a aparecer na listagem do DUNS somente depois que você receber esse e-mail deles. Além disso, as autoridades de certificação (como Sectigo e DigiCert) podem verificar seu número de telefone com base na listagem DUNS do site somente quando o número de telefone estiver disponível publicamente. É por isso que você ou nós devemos entrar em contato com a Autoridade de Certificação solicitando que ela verifique sua listagem DUNS somente depois de receber essa confirmação por e-mail.
No passado, pedimos aos representantes do Departamento de Validação da Sectigo e da DigiCert que entrassem em contato diretamente com Dun & Bradstreet e verificassem o número de telefone do nosso cliente com a Dun & Bradstreet. Fizemos isso depois que nossos clientes nos informaram em que adicionaram ou atualizaram o número de telefone na listagem DUNS do . Em todas as ocasiões, os representantes da Dun & Bradstreet informaram à Sectigo e à DigiCert que os dados de nossos clientes não eram compatíveis com o padrão de qualidade. A atualização da listagem do DUNS está “em andamento” e “ainda não foi concluída”, e fomos aconselhados a entrar em contato com Dun & Bradstreet quando os clientes receberem uma mensagem de e-mail da Dun & Bradstreet confirmando que seus dados estão corretos. DUNS A listagem foi atualizada.
Se 5 a 40 dias for muito tempo para esperar, recomendamos que você use outros métodos para validar sua empresa e seus números de telefone, como fornecer uma carta legal escrita por um tabelião, um advogado ou um contador público certificado. Esse método permitirá que você seja aprovado na validação comercial ou estendida em um ou dois dias.
Copiar link