Windows’ta certreq Kullanarak Kod İmzalama Csr’si Nasıl Oluşturulur

Önemli Güncelleme!

1 Haziran 2023 tarihinden itibaren kod imzalama sertifikaları için yeni bir güvenlik önlemi yürürlüğe girmiştir. Tüm kod imzalama sertifikaları artık FIPS 140 Seviye 2, Ortak Kriterler EAL 4+ veya eşdeğerleri gibi belirli güvenlik standartlarını karşılayan donanımlarda saklanmalıdır.

Sonuç olarak, sertifika edinme ve yükleme süreci değişmiştir. Sertifika Yetkilileri artık tarayıcı tabanlı anahtar oluşturmayı, CSR oluşturmayı ve dizüstü bilgisayarlara veya sunuculara sertifika yüklemeyi desteklememektedir. Bunun yerine, kod imzalama teslim yönteminiz olarak token + shipment’ı tercih ederseniz, CA CSR oluşturma işlemini gerçekleştirecektir. Alternatif olarak, Donanım Güvenlik Modülünüzü (HSM) kullanmayı tercih ederseniz, aşağıdaki kılavuzları kontrol edin veya CSR oluşturma için HSM sağlayıcınızın talimatlarını izleyin.

• YubiKey 5 FIPS CSR Oluşturma ve Onaylama
• Luna Ağa Bağlı HSM v7.x: CSR ve Onay Kılavuzu

---

Aşağıdaki metin, kod imzalama sertifikaları için CSR oluşturmada artık geçerli olmayan eski bilgiler içermektedir.

1 Haziran 2021’den itibaren, kod imzalama sertifikası başvuru sahipleri, RSA Anahtar bit uzunluğunun 3072 bitten az olmamasını gerektiren CA/Browser Forum Code Signing Baseline Requirements’a uymak zorundadır. Daha iyi güvenlik için, 4096 bit anahtarla bir Sertifika İmzalama Talebi (CSR) oluşturmanızı öneririz.

Kod imzalama sertifikası için CSR oluşturmanın çok sayıda yöntemi vardır ve bu makalede Windows’ta CertReq komutunu kullanarak nasıl CSR oluşturacağınızı göstereceğiz.

certreq ile CSR Oluşturma

“certreq “komutunu kullanmak için öncelikle Not Defteri gibi bir metin düzenleyici kullanarak bir “request.inf” dosyası oluşturmanız gerekir. Bir request.inf dosyası oluşturmak ve kod imzalama sertifikanız için bir CSR oluşturmak için aşağıdaki talimatları izleyin.

request.inf Dosyasını Oluşturun

request.inf dosyasının CSR’ye dahil edilmesi gereken “Konu Ayrıntılarını” içermesi gerekir. request.inf dosyasını oluşturduktan sonra, bunu kullanarak bir CSR oluşturabilirsiniz.

Aşağıdaki içeriği bir metin belgesine kopyalayın ve “request.inf” olarak kaydedin. Şirket bilgilerinizi eklemek için yalnızca “Konu” satırını değiştirmelisiniz.

[NewRequest]

;Ülke kodunuzu (C), ortak adınızı (CN), şirket adınızı (O), bölgenizi (L), eyalet/il adınızı (S) değiştirin

Konu = “CN=Şirket Adınız, O=Şirket Adınız, L=Şehir, S=Eyalet, C=ABD”

KeySpec = 1

KeyLength = 4096

Dışa aktarılabilir = TRUE

MachineKeySet = FALSE

SMIME = False

PrivateKeyArchive = FALSE

UserProtected = FALSE

UseExistingKeySet = FALSE

ProviderName = “Microsoft RSA SChannel Şifreleme Sağlayıcısı”

ProviderType = 12

RequestType = PKCS10

KeyUsage = 0xa0

HashAlgorithm = SHA256

[EnhancedKeyUsageExtension]

OID=1.3.6.1.5.5.7.3.3 ; bu kod imzalama içindir

CSR’yi request.inf Dosyası aracılığıyla oluşturun

request.inf dosyasını kaydettikten sonra, aşağıdaki komutu girerek bir CSR oluşturmak için Windows Komut İstemi’ni kullanabilirsiniz:

CERTREQ -new request.inf codesign.csr

Bu komutu çalıştırdıktan sonra, yeni bir CSR oluşturulacak ve “codesign.csr” adlı bir dosya olarak kaydedilecektir. Daha sonra kod imzalama sertifikası talep etmek için bu CSR’yi CA’ya gönderebilirsiniz.

Son Adımlar

Kod imzalama sertifikanızı aldıktan sonra, aynı bilgisayara yüklemeniz gerekir. Aşağıdaki komutu çalıştırın:

certreq -accept certificate.crt

Sertifikayı yükledikten sonra bir PFX dosyasına aktarabilirsiniz. Sertifikayı dışa aktarma işlemi işletim sistemine ve özel yazılımınıza bağlı olarak değişebilir. Genel olarak, sertifika yöneticisini açarak, sertifikayı seçerek ve PFX dosyası olarak dışa aktarmayı seçerek sertifikayı dışa aktarabilirsiniz.

Sertifikayı bir PFX dosyasına aktardıktan sonra, kodunuzu imzalamak ve orijinalliğinden emin olmak için kullanabilirsiniz.