Code Signing

SSL sertifikaları, iletilen verileri şifreleyerek bir istemci (tarayıcı) ve bir sunucu (web sitesi) arasındaki iletişimi güvence altına alırken, Kod imzalama sertifikaları, özgünlüklerini ve bütünlüklerini doğrulamak için yazılımları ve komut dosyalarını dijital olarak imzalar.

Bağlantıyı Kopyala

Sectigo/Comodo’dan Genişletilmiş Doğrulama (EV) kod imzalama sertifikası almak için gerekenler şunlardır:

1. Kayıt Formları: Sertifika için gerekli başvuru formlarını doldurun.
2. Organizasyon Kimlik Doğrulaması: Kuruluşun gerçek bir ticari varlık olarak meşruiyetini kanıtlayın.
3. Operasyonel Varlık: En az üç yıllık aktif işletme ve tescil.
4. Fiziksel Adres: Doğrulama için geçerli bir fiziksel iş adresi sağlayın.
5. Telefon Doğrulaması: Kuruluşun iletişim numarasını devlet veya üçüncü taraf veri tabanları aracılığıyla kanıtlayın.
6. Son Doğrulama Çağrısı: Kuruluş ayrıntılarını ve gerçekliğini doğrulamak için CA’dan bir çağrı alın.

Her adımın ayrıntılı açıklaması için Sectigo/Comodo sertifikaları için Genişletilmiş Doğrulama kılavuzumuza bakın.

Bağlantıyı Kopyala

Sectigo tarafından verilen bir kod imzalama sertifikası için Organizasyon Doğrulamasını (OV) geçmek aşağıdakileri gerektirir:

• Kimlik Doğrulama
• Organizasyon Kimlik Doğrulaması
• Yerellik Varlığı
• Telefon Doğrulama
• Son Doğrulama Çağrısı

Her bir adımı tamamlamak için Sectigo OV Kod İmzalama sertifikasının nasıl doğrulanacağına ilişkin kılavuzumuzu izleyin.

Bağlantıyı Kopyala

Sertifika iptali, bir kod imzalama sertifik asının planlanan son kullanma tarihinden önce geçersiz kılınması işlemidir. Bir güvenlik ihlaliyle ilişkilendirilen herhangi bir kod imzalama sertifikasını iptal etmek yazılım endüstrisi standardı en iyi uygulamadır, çünkü bu sertifika potansiyel olarak tehlikeye atılmış kod içerebilir.

Sectigo’nun Sertifika Uygulamaları Beyanı ve lisans sözleşmesi, şirketin bilgisi dahilinde yasadışı veya dürüst olmayan faaliyetler için kullanılabilecek herhangi bir sertifikayı iptal etmesini gerektirir.

Aynı sertifika hem doğru hem de yanlış amaçlar için kullanılabileceğinden, Sectigo kötü amaçlı yazılım için kullanılan Sectigo sertifikaları hakkında doğru bilgi sağlamak için güvenilir üçüncü taraflara güvenir.

Sectigo, aşağıdaki durumlarda kod imzalama sertifikasını iptal edebilir:

• Bir siber suçlu geçerli bir kod imzalama sertifikasını çalar veya değiştirir
• Bir yüklenici veya çalışanın geçerli bir sertifikayı şirketin bilgisi dışında aldatıcı amaçlarla kullanması.
• Şirketin koduna, web sitesine veya yazılımına kötü amaçlı yazılım veya diğer siber saldırıların bulaşması.

Bir Sertifika Yetkilisi olarak Sectigo, sertifikalarının veya dijital ürünlerinin tehlikede olduğunu bilmeyebilecekleri için kod imzalama sertifikası sahiplerinin yanlış pozitifleri kendi kendilerine bildirmelerine güvenemez.

Kaynak: Sectigo’nun Bilgi Bankası

Bağlantıyı Kopyala

Kod İmzalama Sertifikası, yazılımın orijinalliğini ve bütünlüğünü dijital olarak imzalayarak doğrulayan, üzerinde oynanmamış olmasını ve güvenilir bir kaynaktan gelmesini sağlayan dijital bir dosyadır. Kod imzalama sertifikası şu şekilde çalışır.

Bağlantıyı Kopyala

1 Haziran 2021 tarihi itibariyle ve aşağıdaki hususlara uygun olarak CA/Tarayıcı Forumu Kod İmzalama Temel GereksinimleriSectigo, RSA anahtarlarının en az 3072 bit boyutunda olmasını gerektirecektir.

Kod imzalama sertifikaları için anahtarlar ve CSR’ler oluştururken, lütfen 3072 veya 4096 bit anahtar boyutuna sahip bir RSA anahtarı seçtiğinizden emin olun.

Sadece anahtarların boyutu değişecek, sürecin geri kalanı aynı kalacaktır. Mevcut RSA 2048 bit sertifikaları çalışmaya devam edecek ve bunlarda herhangi bir değişiklik yapılması gerekmeyecektir.

ECC (eliptik eğri) anahtarlarıyla talep edilen sertifikalar etkilenmez ve Sectigo, NIST P-256 ve P-384 eğrilerini kullanan anahtarlarla sertifika imzalamaya devam eder.

Kaynak: Sectigo’nun Bilgi Bankası

Bağlantıyı Kopyala

Sectigo/Comodo Kod İmzalama sertifikanızı yeniden düzenlemek için yapmanız gereken adımlar aşağıda verilmiştir:

1) Sectigo/Comodo Code Signing sertifikanızı ilk yapılandırdığınızda kullandığınız kullanıcı adı ve şifreyi kullanarak https://secure.trust-provider.com/products/frontpage?area=ssl adresinden giriş yapın;
2) Giriş yaptıktan sonra, “Değiştir” düğmesini bulun ve tıklayın;
3) Sectigo/Comodo Code Signing sertifikanız için yeniden düzenleme işlemini başlatacaksınız.
4) Sectigo Code Signing sertifikasının yeniden düzenlenmesini tamamlayana kadar sonraki adımları ve talimatları izleyin.

Bağlantıyı Kopyala

1 Haziran 2023 tarihinden itibaren endüstri standartları, kod imzalama sertifikası özel anahtarlarının FIPS 140 Seviye 2, Ortak Kriterler EAL 4+ sertifikalı donanımlarda saklanmasını zorunlu kılmaktadır. Bu değişiklik, EV kod imzalama standartlarıyla uyumlu olarak güvenliği artırır. Sertifika Yetkilileri artık tarayıcı tabanlı anahtar üretimini veya dizüstü bilgisayar/sunucu kurulumlarını destekleyemez. Özel anahtarlar FIPS 140-2 Seviye 2 veya Ortak Kriterler EAL 4+ sertifikalı token/HSM’lerde bulunmalıdır. Kodu imzalamak için token/HSM’ye erişin ve saklanan sertifika kimlik bilgilerini kullanın.

Yeni yönergeler doğrultusunda, özel anahtarınız CA tarafından gönderilen belirteçte veya Donanım Güvenlik Modülünüzde bulunmalıdır.

Bağlantıyı Kopyala

Bazı Sertifika Yetkilileri (özellikle Sectigo ve DigiCert), İşletme veya Genişletilmiş Doğrulama sürecinizin bir parçası olarak sizden telefon numaranızı güncellemenizi veya şirketinizin DUNS listesine eklemenizi isteyebilir.

Dun & Bradstreet ile iletişime geçtikten ve telefon numaranızı şirketinizin DUNS listesine ekledikten sonra, Dun & Bradstreet’in DUNS listesi güncellemenizi halka açık hale getirmesi 5 ila 40 gün sürebilir. Dun & Bradstreet ile telefonda konuştuğunuzda, size telefon numaranızı eklediklerini veya güncellediklerini söyleyebilirler. Ancak, sadece işlemi başlatmışlardır. Telefon numaranız bundan sonra yaklaşık 5 ila 40 gün içinde Dun & Bradstreet web sitesinde(https://www.dandb.com/) görünecektir.

DUNS listenizin gerçekten güncellendiğini ancak Dun & Bradstreet’ten DUNS profilinizin başarıyla güncellendiğini belirten bir e-posta mesajı aldığınızda anlayacaksınız. Telefon numaranız ancak onlardan bu e-postayı aldıktan sonra DUNS listenizde görünmeye başlayacaktır. Ayrıca, Sertifika Yetkilileri (Sectigo ve DigiCert gibi) telefon numaranızı DUNS kaydınıza dayanarak yalnızca telefon numaranız herkese açık olduğunda doğrulayabilir. Bu nedenle siz veya biz Sertifika Yetkilisi ile iletişime geçerek DUNS listenizi kontrol etmelerini ancak e-posta ile bu onayı aldıktan sonra talep etmeliyiz.

Geçmişte, Sectigo ve DigiCert’ten Doğrulama Departmanı temsilcilerinden doğrudan Dun & Bradstreet ile iletişime geçmelerini ve müşterimizin telefon numarasını Dun & Bradstreet ile kontrol etmelerini istedik. Bunu, müşterilerimiz bizeadresinden telefon numaralarınıDUNS listelerine eklediklerini veya güncellediklerini söyledikten sonra yaptık. Her seferinde, Sectigo ve DigiCert’e Dun & Bradstreet temsilcileri tarafından müşterilerimizin DUNS listesi güncellemesinin “devam ettiği” ve “henüz tamamlanmadığı” söylendi ve müşterilere Dun & Bradstreet’ten DUNS listelerinin güncellendiğini onaylayan bir e-posta mesajı aldıklarında Dun & Bradstreet’e geri dönmeleri tavsiye edildi.

5-40 gün beklemek çok fazlaysa, şirketinizi ve telefon numaralarınızı doğrulamak için noter, avukat veya yeminli mali müşavir tarafından yazılmış yasal bir mektup sağlamak gibi diğer yöntemleri kullanmanızı öneririz. Bu yöntem, İşletme veya Genişletilmiş Doğrulamayı 1-2 gün içinde geçmenizi sağlayacaktır.

Bağlantıyı Kopyala