Semnare de Cod
Certificatele SSL securizează comunicațiile dintre un client (browser) și un server (site web) prin criptarea datelor transmise, în timp ce certificatele de semnare a codurilor semnează digital programele și scripturile pentru a verifica autenticitatea și integritatea acestora.
Copiați link-ul
Iată care sunt cerințele pentru obținerea unui certificat de semnare a codului Extended Validation (EV) de la Sectigo/Comodo:
- Formulare de înscriere: Completați formularele de înscriere necesare pentru obținerea certificatului.
- Autentificarea organizației: Dovada legitimității organizației ca entitate comercială autentică.
- Existența operațională: Cel puțin trei ani de funcționare activă și de înregistrare.
- Adresa fizică: Furnizați o adresă fizică valabilă a întreprinderii pentru verificare.
- Verificare telefonică: Verificați numărul de contact al organizației prin intermediul bazelor de date guvernamentale sau ale unor terțe părți.
- Apel de verificare finală: Primiți un apel din partea AC pentru a valida detaliile și autenticitatea organizației.
Pentru o explicație detaliată a fiecărui pas, consultați ghidul nostru privind validarea extinsă pentru certificatele Sectigo/Comodo.
Copiați link-ul
Trecerea validării organizației (OV) pentru un certificat de semnare a codului emis de Sectigo necesită următoarele:
- Autentificarea identității
- Autentificarea organizației
- Prezența localității
- Verificare telefonică
- Apel de verificare finală
Pentru a finaliza fiecare pas, urmați ghidul nostru despre cum să validați un certificat Sectigo OV Code Signing.
Copiați link-ul
Revocarea certificatului este procesul de invalidare a unui certificat de semnare a codului înainte de data de expirare programată. Cea mai bună practică standard din industria software este revocarea oricărui certificat de semnare a codului asociat cu o breșă de securitate, deoarece certificatul respectiv ar putea conține cod compromis.
Declarația privind practicile de certificare a Sectigo
și contractul de licență impun companiei să revoce orice certificat care, după cunoștințele sale, poate fi utilizat pentru activități ilegale sau necinstite.
Deoarece același certificat poate fi utilizat atât în scopuri corecte, cât și în scopuri greșite, Sectigo se bazează pe terțe părți credibile pentru a furniza informații corecte despre certificatele Sectigo utilizate pentru malware.
Sectigo poate revoca certificatul de semnare a codului în următoarele cazuri:
- Un infractor cibernetic fură sau alterează un certificat de semnare a codului valid
- Un contractant sau un angajat utilizează un certificat valabil în scopuri înșelătoare fără ca societatea să știe.
- Codul, site-ul web sau software-ul companiei este infectat cu malware sau alte atacuri cibernetice.
În calitate de autoritate de certificare, Sectigo nu se poate baza pe raportarea de către proprietarii de certificate de semnare a codului a falsurilor pozitive, deoarece este posibil ca aceștia să nu știe că certificatele sau bunurile lor digitale sunt compromise.
Sursa: Baza de cunoștințe Sectigo
Copiați link-ul
Un certificat de semnare a codului este un fișier digital care verifică autenticitatea și integritatea unui software prin semnarea digitală a acestuia, asigurându-se că nu a fost modificat și că provine dintr-o sursă de încredere. Iată cum funcționează un certificat de semnare a codului.
Copiați link-ul
Începând cu data de 1 iunie 2021 și în conformitate cu prevederile
CA/Browser Forum Code-signing Baseline Requirements (Cerințe de bază pentru semnarea codurilor)
, Sectigo va solicita ca cheile RSA să aibă o dimensiune minimă de 3072 biți.
Atunci când generați chei și CSR-uri pentru certificatele de semnare de cod, asigurați-vă că alegeți o cheie RSA cu o dimensiune de 3072 sau 4096 biți.
Doar dimensiunea cheilor se va schimba, restul procesului rămâne același. Certificatele RSA pe 2048 biți existente vor continua să funcționeze și nu este necesară nicio modificare a acestora.
Certificatele solicitate cu chei ECC (curbă eliptică) nu sunt afectate, iar Sectigo va semna în continuare certificate cu chei care utilizează curbele NIST P-256 și P-384.
Sursa: Baza de cunoștințe Sectigo
Copiați link-ul
Iată care sunt pașii pe care trebuie să îi urmați pentru a reedita certificatul Sectigo/Comodo Code Signing:
1) Conectați-vă la https://secure.trust-provider.com/products/frontpage?area=ssl folosind numele de utilizator și parola pe care le-ați folosit atunci când ați configurat inițial certificatul Sectigo/Comodo Code Signing;
2) După ce v-ați conectat, găsiți butonul “Replace” (Înlocuire) și faceți clic pe el;
3) Veți începe procesul de reemitere a certificatului dumneavoastră Sectigo/Comodo Code Signing.
4) Urmați pașii și instrucțiunile care urmează, până când finalizați reemiterea certificatului Sectigo Code Signing.
Copiați link-ul
Începând cu 1 iunie 2023, standardele din industrie impun stocarea cheilor private ale certificatelor de semnare a codurilor pe hardware certificat FIPS 140 Level 2 și certificat Common Criteria EAL 4+. Această modificare sporește securitatea, alinierea la standardele de semnare a codurilor EV. Autoritățile de certificare nu mai pot susține generarea de chei pe bază de browser sau instalări pe laptop/server. Cheile private trebuie să se afle pe token-uri/HSM-uri certificate FIPS 140-2 Level 2 sau Common Criteria EAL 4+. Pentru a semna codul, accesați token-ul/HSM și utilizați acreditările de certificat stocate.
În conformitate cu noile orientări, cheia dvs. privată trebuie să se afle pe tokenul livrat de AC sau pe modulul de securitate hardware.
Copiați link-ul
Este posibil ca unele autorități de certificare (în special Sectigo și DigiCert) să vă ceară să vă actualizați sau să adăugați numărul de telefon la lista DUNS a companiei , ca parte a procesului de validare extinsă sau de afaceri.
După ce ați contactat Dun & Bradstreet și ați adăugat numărul dvs. de telefon la lista DUNS a companiei dvs., este posibil să dureze între 5 și 40 de zile pentru ca Dun & Bradstreet să facă publică actualizarea listei DUNS . Atunci când vorbiți cu Dun & Bradstreet la telefon, este posibil să vi se spună că au adăugat sau actualizat numărul dumneavoastră de telefon. Cu toate acestea, ei au inițiat doar procesul. Numărul dvs. de telefon va apărea pe site-ul Dun & Bradstreet(https://www.dandb.com/) în aproximativ 5 până la 40 de zile după aceea.
Veți ști că lista DUNS a fost cu adevărat actualizată numai atunci când veți primi un mesaj de e-mail de la Dun & Bradstreet care vă anunță că profilul DUNS a fost actualizat cu succes. Numărul dvs. de telefon va începe să apară în lista DUNS numai după ce primiți acest e-mail de la ei. De asemenea, autoritățile de certificare (cum ar fi Sectigo și DigiCert) vă pot verifica numărul de telefon pe baza listei DUNS de pe numai dacă numărul de telefon este disponibil publicului. De aceea, dumneavoastră sau noi ar trebui să contactați autoritatea de certificare, solicitându-i să vă verifice lista DUNS numai după ce primiți confirmarea prin e-mail.
În trecut, am cerut reprezentanților Departamentului de validare de la Sectigo și DigiCert să contacteze direct Dun & Bradstreet și să verifice numărul de telefon al clientului nostru la Dun & Bradstreet. Am făcut acest lucru după ce clienții noștri ne-au spus că și-au adăugat sau actualizat numărul de telefon pe lista DUNS . De fiecare dată, Sectigo și DigiCert au fost informați de reprezentanții Dun & Bradstreet că, în cazul clienților noștri, nu au fost Actualizarea listării DUNS este “în curs de desfășurare” și “nu a fost finalizată încă”, și au fost sfătuiți să revină la Dun & Bradstreet atunci când clienții primesc un mesaj de e-mail de la Dun & Bradstreet care le confirmă faptul că DUNS listarea a fost actualizată.
În cazul în care 5-40 de zile este prea mult de așteptat, vă recomandăm să folosiți alte metode de validare a companiei și a numerelor de telefon, cum ar fi furnizarea unei scrisori legale scrise de un notar, un avocat sau un expert contabil. Această metodă vă va permite să treceți validarea Business sau Extended Validation în 1-2 zile.
Copiați link-ul