Где вы храните закрытый ключ для сертификата подписи кода?

Question

Недавно я приобрел сертификат подписи кода для своего работодателя, но я не являюсь разработчиком InstallShield, который подпишет двоичные файлы перед распространением. Я знаю, что могу экспортировать сертификат вместе с его закрытым ключом, но где я могу его сохранить, чтобы разработчик InstallShield мог установить его на своем компьютере? Должен ли я удалить его из машины после того, как передам подписчику? Где я могу хранить мастер-копию? Очевидно, что управление исходным кодом - не лучшее место, если я не заблокирую этот каталог в SVN.

Answer 1

Применение политик безопасности для закрытых ключей

Помните: закрытый ключ в сочетании с выпущенными подписанными двоичными файлами является идентификацией вашей компании. Политики обработки таких ключей не могут быть достаточно строгими.

Обеспечить, чтобы ВЫ - единственное лицо в вашей компании, которое сможет (и будет отвечать) подписывать исполняемые файлы.

Если это не вариант, то пусть все сотрудники, вовлеченные в PKI, подпишут явное соглашение о неразглашении с высоким штрафом - результатом должно быть гораздо более высокое чувство ответственности.

передача ключей

• использовать переносной носитель (например, выделенную USB-карту или компакт-диск) - я бы предпочел носитель только для чтения
• пусть квитанция будет засвидетельствована другим сотрудником
• пусть получатель и свидетель подпишут форму о получении ключа

Хранение мастер-копии

Храните резервную копию мастер-копии как минимум на 3 дисках в разных географических точках, к которым у вас есть эксклюзивный доступ. Также подумайте о шифровании копий с помощью надежных алгоритмов шифрования, таких как AES-256 (например, в файле 7z).

Answer 2

Если вы ожидаете, что сможете выполнять автоматическую сборку, вам нужно будет поместить ее куда-нибудь, к чему система сборки может получить доступ.

Answer 3

Вы правы, не желая помещать его в систему контроля версий.

Я бы сказал, что вы должны дать одну копию своему ИТ-отделу, чтобы они могли ее сохранить. Дайте еще одну копию всем разработчикам, которые в ней нуждаются (звучит так, как будто это нужно только одному). Независимо от того, удаляете ли вы его со своей машины, решать вам.

Что касается передачи данных между компьютерами, USB-накопитель является очевидным решением.

Answer 4

Безопасный, портативный носитель - как зашифрованный флэш-накопитель - хороший вариант. Если вы чрезвычайно обеспокоены этим, и если ключ скомпрометирован, на линии много денег, вы можете даже заглянуть в аппаратные модули безопасности, подобные тем, которые предоставляются SafeNet . Они хранят ключ в защищенном устройстве или устройстве, чтобы гарантировать, что ключ не может быть взломан, даже если у вас есть физический доступ к нему.

Недостатком HSM является стоимость. Они могут столкнуться с десятками тысяч долларов. Но если вы рискуете потерять миллионы из-за компромисса, это может быть небольшой ценой.