OpenSSL ile Kod İmzalama Sertifikası için CSR Oluşturma

Önemli Güncelleme!

1 Haziran 2023 tarihinden itibaren kod imzalama sertifikaları için yeni bir güvenlik önlemi yürürlüğe girmiştir. Tüm kod imzalama sertifikaları artık FIPS 140 Seviye 2, Ortak Kriterler EAL 4+ veya eşdeğerleri gibi belirli güvenlik standartlarını karşılayan donanımlarda saklanmalıdır.

Sonuç olarak, sertifika edinme ve yükleme süreci değişmiştir. Sertifika Yetkilileri artık tarayıcı tabanlı anahtar oluşturmayı, CSR oluşturmayı ve dizüstü bilgisayarlara veya sunuculara sertifika yüklemeyi desteklememektedir. Bunun yerine, kod imzalama teslim yönteminiz olarak token + shipment’ı tercih ederseniz, CA CSR oluşturma işlemini gerçekleştirecektir. Alternatif olarak, Donanım Güvenlik Modülünüzü (HSM) kullanmayı tercih ederseniz, aşağıdaki kılavuzları kontrol edin veya CSR oluşturma için HSM sağlayıcınızın talimatlarını izleyin.

• YubiKey 5 FIPS CSR Oluşturma ve Onaylama
• Luna Ağa Bağlı HSM v7.x: CSR ve Onay Kılavuzu

---

Aşağıdaki metin, kod imzalama sertifikaları için CSR oluşturmada artık geçerli olmayan eski bilgiler içermektedir.

Bu kılavuz size OpenSSL ile kod imzalama sertifikaları için nasıl Sertifika İmzalama İsteği oluşturacağınızı gösterecektir. Süreci takip edip komutlara aşina olduktan sonra, doğrudan cihazınızdan sadece birkaç dakika içinde gelecekteki CSR kodlarını oluşturabileceksiniz. Tek ön koşul OpenSSL’in sisteminizde yüklü olmasıdır. Hızlı bir CSR oluşturma için aşağıdaki adımları izleyin.

1. OpenSSL’i İndirin ve Kurun

Bilgisayarınızda OpenSSL yüklü değilse, sisteminizle uyumlu OpenSSL sürümünü indirin ve ardından cihazınıza yükleyin.

2. OpenSSL’i Cihazınızdan Çalıştırın

Klavyenizdeki Windows tuşu + R tuşlarına basarak Windows cihazınızda Çalıştır uygulamasını açın. Görüntülenen Çalıştır iletişim kutusuna cmd yazın ve Enter tuşuna basın. Komut İstemi simgesine sağ tıklayıp “Yönetici Olarak Çalıştır “ı seçerek Komut İstemi’ni yönetici olarak çalıştırdığınızdan emin olun. Bu, Windows Komut İstemi arayüzünü başlatacaktır.

Komut İstemi’ne görev çubuğunuzda bulunan arama çubuğuna cmd yazıp Komut İstemi uygulamasını seçerek de erişebilirsiniz.

Komut İstemi penceresi açıldıktan sonra, geçerli dizini OpenSSL’nin kurulu olduğu konuma değiştirebilirsiniz. Bunu gerçekleştirmek için aşağıdaki örneklerden birine benzer bir komut kullanın ve Enter tuşuna basın:

cd \OpenSSL-Win32\bin

cd \Program Dosyaları\OpenSSL-Win64\bin

3. Özel Anahtarı ve CSR’yi oluşturun

Bir sertifika şifreleme algoritması başlatmak ve özel anahtarın boyutunu belirtmek için benzersiz bir komut oluşturun. Özel anahtarı oluşturmak için aşağıdaki komutu kullanın:

OpenSSL genrsa -out code_signing_key.key 3072

Şimdi CSR dosyasının kendisini oluşturun:

OpenSSL req -new -key code_signing_key.key -out code_signing_csr.txt

4. CSR Alanlarını Gerekli Bilgiler ile Doldurun

İletişim bilgilerinizi istendiği gibi girin. Lütfen doğru ve güncel bilgileri ekleyin. İşte bir örnek. Ayrıntıları gerçek bilgilerinizle değiştirdiğinizden emin olun.

• Ülke (CN) – Şirketinizin kayıtlı olduğu veya ikamet ettiğiniz iki harfli ülke kodunu girin. Örn: ABD.
• Eyalet veya İl (ST) – Şirketinizin kayıtlı olduğu eyalet adını girin. Örn: Kaliforniya.
• Yerleşim Yeri (L) – Şirketinizin kayıtlı olduğu şehir adını girin. Örn: San Jose.
• Organizasyon Adı (O) – Organizasyonunuzun resmi adını veya bir birey için Code Singing sertifikası talep ediyorsanız tam adınızı girin. Örn: GPI Holding LLC
• Organizasyonel Birim (OU) – Şirketiniz içinde Kod İmzalama sertifikası talep eden departmanı belirtin. Örn: BT
• Ortak Ad (CN) – kuruluşunuzun adını veya tam adını buraya girin.
• E-posta Adresi – geçerli bir e-posta adresi girin

İsteğe bağlı parola ve kuruluş adı alanlarını boş bırakabilir ve sadece Enter tuşuna basabilirsiniz.

Not: Özel anahtar ve CSR oluşturmanın alternatif bir yolu Adım 3 ve Adım 4’ü tek bir komutta birleştirmektir:

Openssl req -new -newkey rsa:3072 -nodes -out code_signing_csr.txt -keyout code_signing_key.key -subj "/C=US/ST=California/L=San Jose/O=GPI Holding LLC/CN=GPI Holding LLC

5. Yeni Oluşturulan Özel Anahtarınızı ve CSR Dosyalarınızı Başka Bir Dizine Taşıyın

Özel anahtarı ve CSR dosyalarını OpenSSL’den cihazınızdaki merkezi bir dizine taşımalısınız. Özel anahtarı güvende tutun ve yetkisiz personel ile paylaşmayın. Dosyalarınızı taşımak için aşağıdaki OpenSSL komutlarını izleyin:

• C sürücünüzde yeni bir klasör dizini oluşturun.
  md\c:\codesigningcertificates
• Özel anahtarınızı taşıyın:
  move code_signing_key.key c:\codesigningcertificates

• CSR’nizi taşıyın
  move code_signing_csr.txt c:\codesigningcertificate

6. CSR’yi CA’nıza Gönderin

CSR’niz hazır olduğuna göre, Not Defteri gibi herhangi bir metin düzenleyiciyle açabilir ve —–BEGIN CERTIFICATE REQUEST—– ve —–END CERTIFICATE REQUEST—– etiketleri de dahil olmak üzere içeriğini satıcınızın sayfasındaki sertifika kayıt işlemi sırasında ilgili kutuya kopyalayabilirsiniz.

Son Adımlar

CA, kod imzalama sertifikası talebinizi doğrulayıp onayladıktan sonra gerekli dosyaları e-posta yoluyla gönderir. Doğrulama düzeyinize bağlı olarak, imzalı sertifikayı almanız bir ila birkaç iş günü arasında sürebilir.