Code Signing

1 Haziran 2023’ten itibaren, geliştirilmiş güvenlik önlemleri, standart kod imzalama sertifikalarının özel anahtarlarının yalnızca FIPS 140 Seviye 2, Ortak Kriterler EAL 4+ veya eşdeğer sertifikalı donanımlarda saklanmasını zorunlu kılmaktadır. Bu değişiklik, EV kod imzalama sertifikalarının sıkı koruma standartlarıyla uyumludur. Sonuç olarak, Sertifika Yetkilileri (CA’lar) tarayıcı tabanlı anahtar oluşturma, CSR oluşturma ve yükleme süreçlerini desteklemeyi bıraktı. Bunun yerine, sertifika talep ederken token+ gönderi yönteminin seçilmesi CA’nın CSR oluşturmasını isteyecektir. HSM kurulumunu tercih edenler aşağıdaki talimatlara veya ilgili sağlayıcının yönergelerine başvurmalıdır.

• YubiKey 5 FIPS CSR Oluşturma ve Onaylama.
• Luna Ağa Bağlı HSM v7.x: CSR ve Onay Kılavuzu.

Kod imzalama sertifikası teslim yöntemleri hakkında daha fazla bilgi edinin.

Bağlantıyı Kopyala

DigiCert/GoGetSSL kod imzalama Organizasyon Doğrulama (OV) süreci beş adımdan oluşur:

1. Organizasyon Kimlik Doğrulaması: CA, bilgileri resmi kayıtlarla veya sunulan belgelerle karşılaştırarak yasal kaydı ve aktif durumu onaylar.
2. Fiziksel Adres Doğrulama: DigiCert, fiziksel varlığı sağlamak için iş adreslerini devlet web siteleri ve saygın dizinlerle çapraz referanslar.
3. Telefon Numarası Doğrulama: Ca, kuruluşun telefon numarasını üçüncü taraf dizinleri veya resmi kayıtlar aracılığıyla doğrular.
4. Doğrulama Çağrısı: Bir DigiCert temsilcisi, doğrulanmış bir telefon numarası kullanarak yetkili temsilciye bir çağrı başlatır veya gerekirse bir sesli mesaj seçeneği sunar.
5. Son Onay: Ca, ayrıntıları dahili olarak inceler ve başarılı doğrulamanın ardından sertifika toplama için e-posta talimatları gönderir.

Tam bilgi için Digicert/GoGetSSL sertifikaları için Organizasyon Doğrulama hakkındaki kapsamlı kılavuzumuza bakın.

Bağlantıyı Kopyala

Bireysel olarak bir GoGetSSL kod imzalama sertifikası almak için aşağıdaki adımları izleyin:

Kimlik Doğrulama

Bir tasdik mektubu doldurun ve web kameranızı kullanarak bir video kontrolünden geçin. CA fotoğraflı kimliğinizi ve kimliğinizi doğrulayacaktır. Pasaportunuz yoksa, iki kimlik sunun: fotoğrafınız ve adınızın yazılı olduğu resmi bir kimlik ve adınızın yazılı olduğu ikinci bir kimlik.

Telefon Doğrulama

Telefon numaranızın geçerliliğini ve etkinliğini doğrulayın. Bir Google İşletme kaynağı kabul edilir.

Son Doğrulama Çağrısı

Başvuru ayrıntılarınızı onaylamak için bir CA temsilcisi ile telefon görüşmesi sırasında birkaç soruyu yanıtlayın.

Daha fazla bilgi için GoGetSSL kod imzalama sertifikası için Bireysel Doğrulamanın nasıl geçileceğine ilişkin kılavuzun tamamına göz atın.

Bağlantıyı Kopyala

Bir Sectigo/Comodo kod imzalama sertifikası için Bireysel Doğrulamayı geçmek için gereken adımlar aşağıda verilmiştir:

Fotoğraflı Kimlik Seçeneği:

• Resmi fotoğraflı bir kimlik gönderin.
• Kimliğinizle birlikte bir selfie gönderin.
• Sectigo biletini açın.
• Vaka numarasını alın.

Yüz Yüze Seçeneği:

• Kimlik ve mali kanıt sağlayın.
• Finansal olmayan adres belgesini ekleyin.
• Kişisel Beyan Bildirgesini tamamlayın.
• Belgeleri notere onaylatın.
• Sectigo biletini açın.
• Dava numarasını alın.

Lütfen bunun kısa bir genel bakış olduğunu unutmayın. Sectigo/Comodo Kod İmzalama sertifikaları için ayrıntılı Bireysel Doğrulama talimatlarına bakın.

Bağlantıyı Kopyala

En son Ca/Browser Forum yönergeleri, Kod İmzalama sertifikalarının fiziksel USB belirteçlerinde teslim edilmesini veya mevcut bir Donanım Güvenlik Modülüne (HSM) yüklenmesini gerektirmektedir. Daha fazla ayrıntı için kod imzalama teslim yöntemlerine ilişkin kılavuzun tamamına göz atın.

Code Singing sertifika süresi hem Sertifika Yetkilisine hem de seçtiğiniz teslim yöntemine bağlıdır.

DigiCert ve GoGetSSL kod imzalama sertifikaları, CA tarafından sağlanan bir belirteç veya kendi donanım cihazınızı kullanıp kullanmadığınıza bakılmaksızın bir yıl süreyle verilir.

Sectigo/Comodo kod imzalama sertifikaları, Sectigo tarafından sağlanan bir belirteç kullanıldığında da bir yıl süreyle verilir. Çok yıllı planlar (üç yıla kadar) yalnızca kendi desteklenen HSM’nizi kullanırken kullanılabilir.

Bağlantıyı Kopyala

Kod imzalama sertifikasının geçerliliği sağlayıcıya ve özel anahtarın nerede saklandığına bağlıdır.

DigiCert ve GoGetSSL, sabit bir yıllık geçerliliğe sahip kod imzalama sertifikaları yayınlar. CA tarafından sağlanan bir belirteç veya kendi HSM’nizi kullanmanız fark etmez. Süre her zaman bir yıldır.

Sectigo (Comodo) farklı çalışır. CA tarafından sağlanan bir belirteç kullanırsanız, sertifika da bir yıl ile sınırlıdır. Ancak özel anahtarı kendi HSM’nizde saklarsanız, üç yıla kadar geçerli bir sertifika alabilirsiniz.

Bağlantıyı Kopyala

Kullanıcılara yazılım veya komut dosyası dağıtıyorsanız, bir kod imzalama sertifikası almalısınız. Bu sertifika kodunuzun kimliğini doğrulayacak ve kurcalanmaya karşı koruma sağlayarak kullanıcıların dijital ürünlerinize erişmesine ve bunları kullanmasına olanak tanıyacaktır.

Bağlantıyı Kopyala

Bir kod imzalama sertifikası oluşturabilirsiniz, ancak bu sertifika kendinden imzalı olacaktır ve diğer sistemlerde varsayılan olarak güvenilmeyecektir. Yaygın güven ve tanınma için genel bir CA’dan kod imzalama sertifikası almalısınız.

Bağlantıyı Kopyala

Kod imzalama sertifikasının maliyeti sertifika yetkilisine (CA) ve sertifika türüne (Organizasyon Doğrulama veya Genişletilmiş Doğrulama) bağlı olarak değişir.

Bağlantıyı Kopyala

İmzalanan kod geçerli kalır, ancak kullanıcılar sertifikanın süresinin dolduğunu belirten uyarılar veya istemler görebilir. Güvenin devam etmesini sağlamak ve uyarı mesajlarından kaçınmak için yeni bir kod imzalama sertifikası edinmeli ve kodunuzu yeniden imzalamalısınız.

Bağlantıyı Kopyala